ووسلام – همگام سازی ووکامرس و باسلام
ووسلام – همگام سازی ووکامرس و باسلام has one disclosed vulnerability in the WordSec catalog, all reported in 2026; it is fixed as of October 2026. Their average CVSS score is 4.3, and the most serious one scores 4.3 out of 10.
The most common weakness is Cross-Site Request Forgery (CSRF), behind 1 of the records (100%).
The one issue recorded for ووسلام – همگام سازی ووکامرس و باسلام has a vendor fix available, so running the current release closes it.
All of these findings were reported by Ananda Dhakal. ووسلام – همگام سازی ووکامرس و باسلام is installed on roughly 6,000 WordPress sites, so each unpatched flaw has a wide blast radius. The current release is tested up to WordPress 7.0.7.
CVE-2026-61956sync-basalam <= 1.9.1 - Cross-Site Request Forgery
Read the full analysisVulnerability Records

ووسلام – همگام سازی ووکامرس و باسلام
Author
hamsalam
woocommercesync basalam provides seamless two-way integration between your WooCommerce store and Basalam.com — one of the largest online marketplaces in Iran. With this plugin, you can: – Sync WooCommerce products to your Basalam vendor panel – Automatically receive and update orders from Basalam in WooCommerce – Keep product prices, inventory, and stock levels in sync in real-time – Prepare, pay for and print eligible SalamGate shipments from the store’s order screen or shipping menu, without requiring Pro Note: This plugin connects to Basalam’s external APIs. Authenticated synchronization and shipping use the account configured by the administrator. Public geography/packaging references and an explicitly requested postage estimate can use public SalamGate endpoints without vendor credentials. توضیحات فارسی افزونهی ووسلام (همگامسازی ووکامرس و باسلام) امکان همگامسازی دوطرفه بین فروشگاه ووکامرس شما و بازار باسلام را فراهم میکند. با استفاده از این افزونه میتوانید: – محصولات ووکامرس را به غرفه باسلام اضافه و مدیریت کنید – سفارشهای ثبتشده در باسلام را به صورت خودکار در ووکامرس دریافت و مدیریت کنید – قیمت و موجودی کالاها را به صورت لحظهای همگام سازی کنید – سفارشهای فروشگاه، باسلام و مبدأهای مستقل را با سلامگیت برای ارسال پستی آماده و هزینه ارسال را پرداخت کنید پرداخت با سلامپی / Salam Pay درگاه سلامپی از «ووکامرس ← پیکربندی ← پرداختها ← سلامپی» در دسترس است. برای فعالسازی، کلید اتصال دریافتی از سلامپی را در تنظیمات وارد کنید. پرداخت معمولی و بلوکی ووکامرس، واحدهای ریال و تومان، نوار معرفی و نشان محصول، استعلام پرداخت و بازگشت وجه کامل و جزئی پشتیبانی میشوند. تنظیمات، شناسه درگاه و callback نسخه مستقل حفظ شدهاند. اگر افزونه مستقل سلامپی فعال باشد، همان افزونه مسئول پرداخت است؛ برای استفاده از نسخه داخلی ووسلام، نسخه مستقل را غیرفعال کنید و آن را حذف نکنید، چون حذفکننده نسخه مستقل تنظیمات مشترک را پاک میکند. دریافت پول و بازگشت وجه به کلید معتبر فروشنده نیاز دارند. بازگشت وجه سلامپی غیرهمزمان است: ابتدا درخواست ثبت و سپس نتیجه استعلام میشود؛ ووکامرس فقط پس از تأیید نهایی، بازگشت وجه و موجودی انتخابشده را ثبت میکند. پیام «در انتظار تأیید» به معنی ثبت درخواست است؛ آن را دوباره ارسال نکنید. وضعیت در جزئیات سفارش و عملیات «بررسی پرداخت و بازگشت وجه سلامپی» قابل پیگیری است. درخواست خودکار بازگشت مانده وجه هنگام لغو سفارش، تنظیم جداگانه دارد و پیشفرض خاموش است. پیگیری خودکار به اجرای WP-Cron وابسته است. Salam Pay checkout is bundled with WooSalam, with classic/Blocks checkout, HPOS-compatible order storage, authenticated inquiry, amount checks, partial/full asynchronous refunds and optional storefront badges. Existing gateway settings and callback URLs are retained. The standalone plugin remains the sole owner while active; deactivate it to use the bundled gateway. Do not uninstall the standalone plugin after handover: its uninstaller deletes the shared settings. Refund acceptance is pending, not settlement; WooCommerce refunds are recorded after provider confirmation. Production transactions require a merchant client secret and live acceptance testing. See docs/salam-pay.md for the integration contract and reproducible local verification. ارسال مرسوله با سلامگیت / SalamGate shipping سلامگیت از منوی «ووسلام ← ارسال مرسوله» و صفحه سفارشهای ووکامرس، بدون نیاز به فعالبودن افزونه پرو، در دسترس است. ثبت و فعالسازی حساب، انتخاب آدرس فرستنده، ماشینحساب، مراکز تحویل، ارسال تکی و گروهی، ادامه پرداخت، چاپ لیبل و لغو مجاز مرسوله غیرباسلامی پشتیبانی میشوند. برای این بخش PHP 8.2 یا بالاتر روی معماری ۶۴بیتی، WordPress 6.5 یا بالاتر و WooCommerce 10.0 یا بالاتر لازم است؛ روی محیط ناسازگار فقط بخش ارسال فعال نمیشود. هزینه ارسال سفارش باسلامی با روش ۱۹ از همان سفارش اصلی کسر میشود؛ مبدأهای دیگر از تراز غرفه یا کیف پول باسلام، روش ۲۰/۲۱، استفاده میکنند. گروه مختلط، چند پرداخت مستقل و متوالی است، نه یک تراکنش مشترک. فروشنده وزن نهایی را مرور و تأیید میکند؛ دریافت نرخ بهتنهایی پرداخت نیست. نتیجه قطعشده مالی نیاز به بررسی دارد و خودکار تکرار نمیشود. رسید معتبر شرط چاپ است؛ لغو پستی، سفارش ووکامرس یا پرداخت خریدار را لغو نمیکند. اگر پروِ دارای سلامگیت هم فعال باشد، همان پرو تنها مسئول این بخش میماند و اجرای تکراری انجام نمیشود. با غیرفعالشدن پرو، نسخه عادی از همان نگاشتها و سوابق موجود استفاده میکند؛ اطلاعات مرسوله و محافظ مالی پاک یا جابهجا نمیشوند. اتصال از حساب عادی ووسلام انجام میشود و برای اعطای مجوزهای جدید سلامگیت ممکن است اتصال مجدد و تأیید دسترسی کلاینت عادی از سمت باسلام لازم باشد؛ داشتن توکن بهتنهایی اعطای این مجوزها را تضمین نمیکند. SalamGate is available in ordinary WooSalam without Pro. It supports account onboarding, sender settings, estimates, delivery centers, single/mixed bulk shipping, reviewed payment, eligible PDF labels and guarded non-Basalam cancellation. Shipping requires PHP 8.2+/64-bit, WordPress 6.5+ and WooCommerce 10.0+; unsupported environments keep the other base features. Legacy Pro remains the sole shipping owner while active, avoiding duplicate handlers. Existing shipment mappings and financial guards are preserved when ownership changes. Native Basalam shipping uses payment method 19 from its original order; other origins use vendor balance 20 or wallet 21. Bulk payments are sequential, not one atomic debit. Lost financial responses require read-only reconciliation, never automatic replay. Real payment/activation/refund needs deliberate authorization; automated tests are not proof of a live financial result. Current base OAuth renewal has no operational shared-client refresh adapter; reconnect remains the fallback. The ordinary OAuth client/callback are not replaced with Pro credentials. Postal tracking is offered only through the dedicated tracking tab, which submits a validated 24-digit barcode to https://tracking.post.ir/. Shipping service selection by buyers at customer checkout is not provided. A cancelled source order cannot start fresh shipping; a voided postal receipt cannot print a valid label. 💬 گروه پشتیبانی تلگرام 📧 ایمیل پشتیبانی 🌐 راهنمای نصب و استفاده External Services This plugin communicates with several external APIs provided and hosted by Basalam to enable synchronization between WooCommerce and Basalam. External APIs used: developers.basalam.com core.basalam.com order-processing.basalam.com categorydetection.basalam.com revision.basalam.com integration.basalam.com uploadio.basalam.com salam-gate.basalam.com — shipping account, parcel, quote, payment and label APIs tracking.post.ir — browser navigation from the postal tracking tab, with the entered postal barcode Purpose: These APIs are used for: – Syncing product information: title, description, price, inventory, images, etc. – Creating and updating orders from Basalam – Predicting product categories and validating uploaded images – Authenticating vendors and managing account credentials – Registering/reviewing postal parcels, selecting shipping rates, paying postage, generating authorized labels and requesting eligible cancellation Data Sent (authenticated operations): – Product data: title, price, stock, description, categories, images (on sync) – Order data: order ID, status, invoice number (on order updates) – Site metadata: vendor ID, domain, webhook URLs (during setup or manual sync) – Shipping data when the seller prepares a parcel: recipient name, phone, postal address/code, city, goods description, declared value, packaged weight/dimensions and the required order/native-parcel identifiers. Selected quote/funding information is sent when the seller explicitly confirms the financial action. Public reference requests contain no recipient details. Calculator input consists of route city IDs, package weight/value, packaging and service parameters. The tracking form sends only its entered barcode to the official postal website. Data Received: – Orders placed by customers on Basalam – Product inventory updates – Vendor authentication tokens and sync status – Shipping account/shop state, rates and cost breakdown, parcel/invoice status, postal barcode, delivery-center data and authorized PDF label links Security Measures: – All communications occur over secure HTTPS connections – Authenticated shipping requires account ownership, local permissions and a valid nonce; public references/calculator are separate – Shipping status can be checked by the configured read-only background synchronization; financial actions are never silently performed by that scheduler – No shared OAuth client secret is distributed; uncertain creation/payment/cancellation records are retained to prevent blind retries Terms and Privacy: This plugin depends on Basalam’s platform and services. By using the plugin, you agree to their terms and privacy policy: Basalam Terms of Service Basalam Privacy Information Support If you need help or have questions, please contact us via: 💬 Support Telegram Group 📧 Email 🌐 Help Center
Vulnerability data © Defiant, Inc., provided under the Wordfence Intelligence T&C