→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-111956 · wholesalex
خواندن غیرمجاز فایل‌ها (Arbitrary File Read) در افزونه WholesaleX
افزونه WholesaleX قبل از نسخه 3.0.9 فایل واردشده توسط کاربر را در یک مکان عمومی با نام قابل پیش‌بینی نگهداری می‌کند و آن را محافظت یا حذف نمی‌کند. این امر به مهاجمان غیرمجاز امکان می‌دهد تا فایل حاوی داده‌های کاربر، از جمله رمزهای عبور و جزئیات تماس و آدرس مشتریان را دانلود کنند که منجر به افشای اطلاعات حساس مشتریان می‌شود. پچ رسمی هنوز منتشر نشده است و توصیه می‌شود افزونه به طور موقت غیرفعال شود یا از فایروال استفاده گردد.
نسخه‌های تحت تأثیر
<= 3.0.9
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wholesalex را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.