→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-119166 · usc-e-shop

تصاحب حساب کاربری (Account Takeover) در افزونه Welcart e-Commerce

افزونه Welcart e-Commerce (usc-e-shop) در نسخه‌های ۲.۱۲.۵ و قبل از آن، به‌دلیل نبود اعتبارسنجی کافی روی شناسه کنترل‌شده توسط کاربر، در برابر ارجاع مستقیم ناامن به شیء (IDOR) آسیب‌پذیر است. مهاجم احرازهویت‌نشده، بدون نیاز به حساب قبلی یا ورود به وردپرس، می‌تواند ایمیل و گذرواژه حساب اعضای فروشگاه را تغییر دهد و با ورود به‌جای آن عضو، حساب را به‌طور کامل تصاحب کند. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار اصلاحیه، افزونه را موقتاً غیرفعال کنید یا دسترسی به قابلیت‌های مرتبط را با دیوار آتش وب (WAF) محدود نمایید.