→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-107594 · file-upload-to-order
آپلود فایل غیرمجاز (Arbitrary File Upload) در افزونه File Upload to Order
افزونه File Upload to Order در نسخه‌های ۱.۱.۴ و پایین‌تر، مسیر فایلی را که از داده‌های نشست تحت کنترل مهاجم می‌آید پیش از حذف اعتبارسنجی یا محدود نمی‌کند. این عمل حذف بدون احراز هویت در دسترس است و مهاجم می‌تواند فایل‌های دلخواه روی سرور را حذف کند؛ از جمله فایل‌هایی که حذف آن‌ها می‌تواند به تصرف کامل سایت منجر شود. وصله رسمی هنوز منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا دسترسی به آن را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 1.1.4
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته file-upload-to-order را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.