→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-17589 · wp-easycart

تزریق SQL مرتبه دوم (Second-Order SQLi) در افزونه wp-easycart از طریق پارامتر product_order

متوسط plugin CVSS 4.9

افزونه Shopping Cart & eCommerce Store وردپرس تا نسخه ۵.۹.۲ به دلیل عدم escaping و sanitization کافی پارامتر product_order در برابر تزریق SQL آسیب‌پذیر است. این آسیب‌پذیری از نوع تزریق SQL مرتبه دوم است که payload از طریق handler بدون sanitization در جدول ذخیره شده و سپس در کوئری‌های موجود اجرا می‌شود. مهاجمان احراز هویت‌شده با دسترسی administrator می‌توانند اطلاعات حساس دیتابیس را استخراج کنند و به‌روزرسانی فوری افزونه به نسخه بالاتر از ۵.۹.۲ برای رفع این ریسک ضروری است.

نسخه‌های تحت تأثیر

<= 5.9.2

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته wp-easycart را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

تزریق SQL مرتبه دوم (Second-Order SQLi) در افزونه wp-easycart از طریق پارامتر product_order

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر