行業新聞與部落格

PatchStack 稱，PayU CommercePro 外掛中的一個嚴重漏洞允許未經身份驗證的攻擊者劫持使用者帳戶，從而使數千個 WordPress 網站面臨風險。

運費 API 漏洞可導致賬戶劫持

該漏洞是在 3.8.5 版本中發現的，源於 /payu/v1/get-shipping-cost API 路由中不安全的邏輯。攻擊者可以利用此漏洞冒充任何註冊使用者，包括網站管理員，而無需登入憑證。

該漏洞編號為 CVE-2025-31022，是由 update_cart_data () 函式的不安全處理引起的。該函式原本用於處理訂單和配送詳情，但它在未驗證使用者身份的情況下接收使用者 ID 並設定會話資料。

由於 API 呼叫僅檢查與硬編碼電子信箱（[email protected]）關聯的有效令牌，因此攻擊者可以使用另一個暴露的端點 /payu/v1/generate-user-token 生成有效令牌。利用該令牌，他們可以傳送惡意請求，從而控制任何現有使用者帳戶。

漏洞利用涉及鏈式 API 呼叫和硬編碼電子信箱

攻擊路徑遵循以下關鍵步驟：

• 使用受信任的硬編碼電子信箱生成身份驗證令牌

• 使用目標使用者的電子信箱呼叫運費 API

• 觸發易受攻擊的 update_cart_data () 函式

• 獲得使用者 WordPress 帳戶的訪問許可權

該外掛還會刪除其建立的臨時訪客賬戶，從而降低被發現的可能性。這為漏洞利用增加了一層隱蔽性，使攻擊者在接管系統後仍無法被發現。

30 天披露期後未釋出任何修復程式

儘管做出了負責任的披露努力，但供應商尚未釋出任何補丁。

Patchstack 團隊建議：“如果您是 PayU CommercePro 使用者，請停用並刪除該外掛。”

還敦促開發人員稽核公共 API 端點並消除硬編碼憑證，以防止類似的風險。