→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-103379 · wati-chat-and-notification
افشای اطلاعات حساس سفارش‌های ووکامرس بدون احراز هویت در افزونه WATI Chat and Notification
افزونه WATI Chat and Notification تا نسخه ۱.۱.۸ در حالت پیش‌فرض، روی یک نقطه پایانی عمومی الزام به ارائه راز (secret) معتبر و غیرخالی ندارد و توکن API ذخیره‌شده را برمی‌گرداند. مهاجم بدون احراز هویت می‌تواند این توکن را به نقطه پایانی عمومی دوم بدهد، نشانی صفحه دریافت هر سفارش ووکامرس را به‌دست آورد و نام، نشانی، شماره تلفن و ایمیل مشتری را بخواند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دسترسی به آن را با فایروال محدود نمایید.
نسخه‌های تحت تأثیر
<= 1.1.8
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wati-chat-and-notification را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.