→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-109414 · vitepos-lite

تزریق کور کدهای SQL (Blind SQLi) در افزونه Vitepos

افزونه Vitepos – Point of Sale (POS) for WooCommerce در همه نسخه‌های تا ۳.۶.۱ و از جمله آن، به‌دلیل فراردهی ناکافی ورودی کاربر و آماده‌سازی ناکافی کوئری موجود، از طریق شاخه عملگر bt (BETWEEN) در پارامتر src_by در برابر تزریق SQL کور آسیب‌پذیر است. مهاجم احرازهویت‌شده با دسترسی سطح فروشنده (vendor) یا بالاتر می‌تواند کوئری‌های اضافی را به کوئری‌های موجود الحاق کند و اطلاعات حساس را از پایگاه‌داده استخراج نماید. این مورد اصلاح ناقص یک تزریق SQL پیشین است که در نسخه ۳.۶.۰ تنها عملگرهای gt، lt، le و ge را پوشش داده و شاخه عملگر bt را بدون وصله باقی گذاشته است. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی به آن را با فایروال برنامه‌های وب (WAF) محدود نمایید.