جزئیات آسیب‌پذیری

CVE-2026-118377

mewebstudio pos

mews/pos through 2.0.0 Missing Hash Verification in 3D Pay and 3D Host Callbacks

CVSS 4.0

8.7بالا

نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

mews/pos through 2.0.0 contains an insufficient verification of data authenticity vulnerability that allows unauthenticated attackers to forge payment results by submitting unverified callbacks. GarantiPos, PayForPos and InterPos 3D Pay and 3D Host handlers skip check3DHash(), letting attackers post tampered status, amount or order ID fields to complete orders without paying.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
8.7بالا	4.0	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N`
7.5بالا	3.1	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
mewebstudio	pos	v ≤ 2.0.0	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/mewebstudio/pos/pull/305 patchissue-tracking
https://github.com/mewebstudio/pos/commit/7c59d42bc49483c7c54999d757cb67055d9f732a patch
https://github.com/mewebstudio/pos/issues/306 issue-tracking
https://github.com/mewebstudio/pos/blob/50ed2bfe4f8980b8b0c47996de571943fa58d7ad/src/Gateway/PayForPos.php#L135-L150 technical-description
https://github.com/mewebstudio/pos/blob/50ed2bfe4f8980b8b0c47996de571943fa58d7ad/src/Gateway/InterPos.php#L134-L149 technical-description
https://github.com/mewebstudio/pos product
https://www.vulncheck.com/advisories/mews-pos-through-2.0.0-missing-hash-verification-in-3d-pay-and-3d-host-callbacks third-party-advisory

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۸/۰۶
آخرین به‌روزرسانی: ۱۴۰۵/۰۸/۰۶
وضعیت: PUBLISHED
صادرکننده (CNA): VulnCheck
اولویت کلون: به‌زودی

پیش‌بینی بهره‌برداری (EPSS)

۰٫۱۸٪

احتمال بهره‌برداری در ۳۰ روز

۷٫۶٪

صدک (نسبت به همه‌ی CVEها)

ضعف‌ها (CWE)

CWE-345
Insufficient Verification of Data Authenticity