→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-103378 · geliver-ak-ll-kargo-pazaryeri
افشای اطلاعات حساس و کلید یکپارچه‌سازی از طریق دسترسی غیرمجاز به فایل لاگ در افزونه Geliver Akıllı Kargo Pazaryeri
افزونه Geliver Akıllı Kargo Pazaryeri در نسخه‌های ۳.۱.۱ و قبل از آن، از دسترسی کاربران احراز هویت‌نشده به فایل لاگی که در پوشه‌ای قابل‌دسترس از وب ذخیره می‌شود جلوگیری نمی‌کند و هنگام پردازش درخواست‌های همین کاربران، کلید یکپارچه‌سازی شرکت حمل سایت را در آن می‌نویسد. مهاجم بدون نیاز به ورود می‌تواند این کلید را بازیابی کرده و وضعیت سفارش‌های ووکامرس را تغییر دهد؛ همچنین اطلاعات مشتریان مربوط به سفارش‌های پردازش‌شده از همین فایل افشا می‌شود. از آنجا که وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 3.1.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته geliver-ak-ll-kargo-pazaryeri را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.