→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-103688 · checkout-files-upload-for-woocommerce
اجرای کد از راه دور (RCE) در افزونه Checkout Files Upload for WooCommerce
افزونه Checkout Files Upload for WooCommerce در نسخه‌های ۲.۴.۰ و قبل از آن، اگر تنظیم انواع فایل پذیرفته‌شده خالی بماند (که طبق مستندات به‌معنای پذیرش همه فایل‌هاست)، نوع فایل‌های بارگذاری‌شده را اعتبارسنجی نمی‌کند. در نتیجه کاربران احراز هویت‌نشده می‌توانند فایل‌های دلخواه، از جمله فایل‌های PHP، را بارگذاری کنند و در سرورهایی که PHP را از پوشه آپلود اجرا می‌کنند به اجرای کد از راه دور دست یابند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا بارگذاری فایل را با فایروال وب (WAF) محدود نمایید.
نسخه‌های تحت تأثیر
<= 2.4.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته checkout-files-upload-for-woocommerce را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.