→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-111027 · welcart-e-commerce
تزریق کدهای SQL (SQLi) در افزونه Welcart e-Commerce
افزونه Welcart e-Commerce در نسخه‌های ۲.۱۲.۶ و پایین‌تر، یک پارامتر را پیش از استفاده در کوئری SQL به‌درستی پاک‌سازی و escape نمی‌کند و escaping اعمال‌شده را نیز پیش از اجرای کوئری حذف می‌کند. در نتیجه کاربری با نقش ویرایشگر (Editor) یا بالاتر می‌تواند تزریق SQL انجام دهد و داده‌های پایگاه‌داده وب‌سایت را بخواند، تغییر دهد یا حذف کند. چون وصله رسمی هنوز منتشر نشده است، از ادامه استفاده بدون کنترل جبرانی خودداری کنید؛ افزونه را موقتاً غیرفعال کنید یا دسترسی مرتبط را با فایروال وب (WAF) محدود نمایید.
نسخه‌های تحت تأثیر
<= 2.12.6
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته welcart-e-commerce را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.