→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-107752 · usc-e-shop

تزریق کدهای SQL (SQLi) در افزونه Welcart e-Commerce

متوسط plugin CVSS 4.9

افزونه Welcart e-Commerce برای وردپرس تا نسخه 2.12.4 به دلیل عدم پاکسازی کافی پارامترهای ورودی کاربر و عدم استفاده از کوئری‌های آماده‌سازی شده، در پارامترهای 'wp_usces_order_old (فیلدهای JSON جستجوی searchSql و searchSkuSql)' دچار آسیب‌پذیری تزریق کدهای SQL (SQL Injection) است. مهاجمان احراز هویت‌شده با سطح دسترسی ویرایشگر و بالاتر می‌توانند از این نقص برای الحاق کوئری‌های مخرب SQL و استخراج اطلاعات حساس از پایگاه داده سوءاستفاده کنند. تاکنون پچ رسمی برای این آسیب‌پذیری منتشر نشده است و توصیه می‌شود تا زمان ارائه وصله امنیتی، موقتاً افزونه را غیرفعال کرده یا از فایروال برنامه‌های کاربردی وب (WAF) استفاده کنید.

نسخه‌های تحت تأثیر

<= 2.12.4

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته usc-e-shop را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

تزریق کدهای SQL (SQLi) در افزونه Welcart e-Commerce

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر