→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-15673 · sms-alert
تزریق کدهای SQL (SQLi) در افزونه SMS Alert – SMS Notifications & OTP Login, COD Verification, Abandoned Cart Recovery
افزونه SMS Alert – SMS & OTP برای WooCommerce، اعلان‌های سفارش و بازیابی سبد خرید رها شده برای وردپرس در نسخه‌های تا ۳.۹.۷ آسیب‌پذیر به تزریق کدهای SQL (SQL Injection) از طریق تنظیمات 'checkout_payment_plans' و 'order_status' است. این آسیب‌پذیری به دلیل عدم فرار کافی از پارامترهای واردشده توسط کاربر و عدم آماده‌سازی کافی در کوئری SQL موجود ایجاد شده و امکان تزریق کوئری‌های اضافی SQL را برای مهاجمان احراز هویت‌شده با سطح دسترسی مدیر فراهم می‌کند که می‌تواند برای استخراج اطلاعات حساس از پایگاه داده استفاده شود. این یک تزریق SQL از نوع دوم است و با توجه به وجود پچ امنیتی، توصیه به به‌روزرسانی فوری به نسخه امن می‌شود.
نسخه‌های تحت تأثیر
<= 3.9.7
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته sms-alert را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.