您好，
我們使用Tap Pay Pro 2.2.3b3 版
目前被偵測出 cw-tappay 的 REST callback /wp-json/cwtpfw/notify 疑似存在未授權付款狀態更新風險。未登入、未提供 WordPress nonce 或可驗證簽章的 POST 請求，仍會進入處理程序並回傳成功結果。
請緊急檢查 callback 是否僅依賴請求中的 order_id/status 更新 WooCommerce 訂單，並改為向 TapPay 伺服器端查證交易及核對訂單金額、商店、交易 ID；同時請確認所有 TapPay API 呼叫均啟用 TLS peer/hostname verification。
請告知受影響版本及修補版時程。謝謝