→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-107788 · smartyparcel
عدم بررسی مجوز در افزونه وردپرس SmartyParcel
افزونه SmartyParcel در نسخه‌های پایین‌تر و مساوی با 1.23.4 بررسی‌های لازم را روی مجوزهای دسترسی هنگام حذف رکوردهای برچسب پستی انجام نمی‌دهد. این نقص امنیتی به هر کاربر احراز هویت‌شده‌ای مانند مشترک (Subscriber) اجازه می‌دهد تا رکوردهای برچسب پستی و رهگیری سفارشات مختلف را در سراسر فروشگاه حذف کند. از آنجا که تاکنون پچ رسمی برای این آسیب‌پذیری منتشر نشده است، اکیداً توصیه می‌شود تا زمان ارائه به‌روزرسانی، افزونه را موقتاً غیرفعال کنید یا از قوانین فایروال جهت مسدودسازی دسترسی‌های غیرمجاز بهره ببرید.
نسخه‌های تحت تأثیر
<= 1.23.4
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته smartyparcel را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.