→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-103899 · woocommerce-eu-vat-assistant
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه EU VAT Assistant for WooCommerce
افزونه EU VAT Assistant for WooCommerce در همه نسخه‌های تا و شامل 2.1.30.260413 به‌دلیل پاک‌سازی ناکافی ورودی و گریز خروجی پارامتر vat_number در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) آسیب‌پذیر است. مهاجمان احراز هویت‌نشده می‌توانند اسکریپت دلخواه را در صفحات ذخیره کنند که هنگام بررسی سفارش توسط مدیر در مسیر WooCommerce → Orders → Edit Order در مرورگر او اجرا می‌شود و امکان افزایش سطح دسترسی (Privilege Escalation) تا تصاحب کامل سایت، از جمله ایجاد حساب مدیر مخرب، را فراهم می‌کند. از آنجا که وصله امنیتی منتشر شده است، به‌روزرسانی فوری افزونه به نسخه امن توصیه می‌شود.
نسخه‌های تحت تأثیر
<= 2.1.30.260413
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته woocommerce-eu-vat-assistant را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.