→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-120558 · woo-advanced-shipment-tracking

تزریق کدهای SQL (SQLi) در افزونه Advanced Shipment Tracking for WooCommerce

افزونه Advanced Shipment Tracking for WooCommerce در نسخه‌های ۳.۹ و پایین‌تر، از طریق پارامتر tracking_provider در نقطه پایانی REST ثبت رهگیری مرسوله، به‌دلیل گریز (escaping) ناکافی ورودی و آماده‌سازی نادرست پرس‌وجوی SQL در برابر تزریق SQL آسیب‌پذیر است. مهاجم احرازهویت‌شده با دسترسی سطح مدیر فروشگاه یا بالاتر می‌تواند پرس‌وجوهای اضافی SQL اجرا کند و به داده‌های پایگاه‌داده فروشگاه به‌صورت غیرمجاز دست یابد. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا با دیوار آتش برنامه‌های وب (WAF) دسترسی به این نقطه پایانی را محدود نمایید.