→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-109934 · otter-blocks
افشای اطلاعات محتوای غیرعمومی از طریق REST API در افزونه Otter Blocks
افزونه Otter Blocks در نسخه‌های ۳.۲.۸ و قبل از آن، پیش از بازگرداندن داده از طریق یک نقطه پایانی REST API به‌درستی تشخیص نمی‌دهد که آیا نوشته به‌صورت عمومی قابل خواندن است یا خیر و هر نوشته با وضعیت منتشرشده را عمومی در نظر می‌گیرد. در نتیجه کاربران احرازهویت‌نشده می‌توانند خلاصه دستی نوشته‌های محافظت‌شده با رمز عبور، محتوا و عنوان انواع نوشته غیرعمومی و در سایت‌های ووکامرس کدهای تخفیف و توضیحات آن‌ها را بخوانند. وصله رسمی تاکنون منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا دسترسی به نقطه پایانی آسیب‌پذیر را با فایروال وب محدود کنید.
نسخه‌های تحت تأثیر
<= 3.2.8
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته otter-blocks را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.