The Paid Memberships Pro plugin for WordPress is vulnerable to unauthorized modification and disruption of Stripe webhook configuration in all versions up to, and including, 3.6.5. This is due to missing capability checks on the `wp_ajax_pmpro_stripe_create_webhook`, `wp_ajax_pmpro_stripe_delete_webhook`, and `wp_ajax_pmpro_stripe_rebuild_webhook` AJAX handlers. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete, create, or rebuild the site's Stripe webhook, disrupting all payment processing, subscription renewal synchronization, cancellation handling, and failed payment management.
The Paid Memberships Pro WordPress plugin versions up to 3.6.5 contain missing capability checks in Stripe webhook AJAX handlers, allowing authenticated subscribers to modify webhook configurations. This vulnerability enables attackers to disrupt payment processing, subscription management, and financial transaction handling for affected organizations.
تحتوي إضافة Paid Memberships Pro على ثغرة في معالجات AJAX الخاصة بـ Stripe تفتقد فحوصات القدرات، مما يسمح للمستخدمين المصرحين بحذف أو إنشاء أو إعادة بناء webhooks. هذا يمكن أن يعطل معالجة الدفع بالكامل وإدارة الاشتراكات والتجديدات والإلغاءات.
ثغرة في إضافة Paid Memberships Pro لـ WordPress تصل إلى الإصدار 3.6.5 تفتقد فحوصات الصلاحيات في معالجات AJAX الخاصة بـ Stripe. يمكن للمستخدمين المصرحين بمستوى المشترك تعديل إعدادات webhooks وتعطيل معالجة الدفع والاشتراكات.
Update Paid Memberships Pro plugin to version 3.6.6 or later immediately. Implement capability checks to restrict webhook management to administrator-level users only. Review and audit all Stripe webhook configurations and recent modifications. Monitor Stripe webhook logs for unauthorized changes. Implement additional access controls and role-based permissions for payment-related functions.
قم بتحديث إضافة Paid Memberships Pro إلى الإصدار 3.6.6 أو أحدث فوراً. طبق فحوصات الصلاحيات لتقييد إدارة webhooks للمستخدمين من مستوى المسؤول فقط. راجع وتدقق جميع إعدادات Stripe webhook والتعديلات الأخيرة. راقب سجلات Stripe webhook للتعديلات غير المصرح بها. طبق ضوابط وصول إضافية وأذونات قائمة على الأدوار للوظائف المتعلقة بالدفع.