2026年11月2日 · 独立站技术动态
做中东、北非市场的独立站常用Paymob收单，这次轮到它出事了。WPScan披露：Paymob for WooCommerce插件4.1.14以下版本，其支付webhook的card-token分支不校验请求签名——未认证攻击者可以向任意用户账户写入卡token记录，并枚举站点注册账户。漏洞编号CVE-2026-87979，概念验证（PoC）已于10月上旬公开。
CVE-2026-87979
漏洞编号
<4.1.14
受影响版本
webhook
攻击入口
PoC已公开
风险等级
卡token被写入意味着什么
token化是支付网关保管持卡人信息的机制：正确的token让买家免密复购，被篡改的token则可能把别人的扣款挂到你的账户、或把你的复购引到攻击者控制的卡上。再配合账户枚举，攻击者可以批量定位高消费客户账户做精准投毒。这类漏洞不产生直观的”挂马”痕迹，却直接污染资金路径。
webhook验签是支付插件的底线
支付类webhook必须验证签名，这是行业基本功——Stripe、PayPal的集成文档都把验签列为第一步。这次问题出在新开的card-token分支漏掉了主分支已有的验签逻辑，属于典型的”新功能绕过老安全”。它提醒所有独立站：支付插件的每次大版本更新都值得关注变更说明，新功能往往伴随新的攻击面。
Paymob漏洞排查清单
- 升级Paymob for WooCommerce至4.1.14及以上；
- 审计近期新增的卡token记录，清除异常条目；
- 核对webhook日志中的来源IP与签名验证失败记录；
- 通知买家开启账户二次验证，防范账户接管；
- 复核启用token化的站点是否都有同样的分支风险。
常见问题（FAQ）
不用Paymob的站点要看这篇吗？
可以当免费安全课：任何支付插件的webhook不验签都是同一类风险，检查自家收单插件的验签逻辑总没错。
漏洞已经被利用了吗？
PoC已公开意味着利用门槛极低，按”已被扫描”的假设处理最稳妥。
信息来源
延伸阅读
© 版权声明
文章版权归xinghuos.com注册作者所有，未经允许请勿转载。资源仅供学习交流，有条件者请支持原作者。如有版权或内容准确性问题请联系我司协商处理，收到通知后24小时内处置。
THE END
暂无评论内容