→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-110251 · woo-photo-reviews
حذف غیرمجاز فایل‌های کتابخانه رسانه در افزونه Photo Reviews for WooCommerce
افزونه Photo Reviews for WooCommerce در نسخه‌های ۱.۲.۳۱ و قبل از آن، به‌دلیل اعتماد به شناسه پیوست‌های ذخیره‌شده در متای دیدگاه بدون بررسی مالکیت یا سطح دسترسی، به مهاجمان احراز هویت‌نشده اجازه می‌دهد هر فایل کتابخانه رسانه وردپرس را به‌صورت دائمی از پایگاه داده و دیسک حذف کنند. این نقص می‌تواند باعث از بین رفتن تصاویر و فایل‌های رسانه سایت شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی به آن را با فایروال محدود نمایید.
نسخه‌های تحت تأثیر
<= 1.2.31
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته woo-photo-reviews را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/woo-photo-reviews/trunk/admin/admin.php#L2403 ↗
- https://plugins.trac.wordpress.org/browser/woo-photo-reviews/trunk/frontend/frontend.php#L1232 ↗
- https://plugins.trac.wordpress.org/browser/woo-photo-reviews/trunk/frontend/frontend.php#L1267 ↗
- https://plugins.trac.wordpress.org/browser/woo-photo-reviews/trunk/includes/functions.php#L84 ↗
- https://wordpress.org/plugins/woo-photo-reviews/ ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/b9a4d8f9-7b25-4c31-8457-2cb45bd17150?source=cve ↗