→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-11396 · woo-product-filter
نقص در بررسی سطح دسترسی (Missing Authorization) در افزونه Product Filter for WooCommerce by WBW
افزونه Product Filter for WooCommerce (woo-product-filter) در نسخه‌های ۳.۴.۶ و قبل از آن، در اکشن AJAX با نام filtersFrontend بررسی سطح دسترسی و nonce انجام نمی‌دهد و مقدار کنترل‌شده توسط مهاجم را بدون محدودیت در آرگومان‌های پرس‌وجوی وردپرس ادغام می‌کند. به همین دلیل مهاجم احراز هویت‌نشده می‌تواند محصولات غیرعمومی ووکامرس، از جمله پیش‌نویس و زمان‌بندی‌شده، را برشمارد. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی به این اکشن را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 3.4.6
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته woo-product-filter را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/woo-product-filter/trunk/modules/woofilters/controller.php#L864 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3757178%40woo-product-filter&new=3757178%40woo-product-filter ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/f2b51837-5925-497f-bdb8-c32f9011830b?source=cve ↗