→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-19887 · usc-e-shop
آسیب‌پذیری تزریق شیء PHP در افزونه Welcart e-Commerce
این افزونه به دلیل عدم اعتبارسنجی ورودی در بخش بازگشت پرداخت Telecom EDY، در برابر تزریق شیء PHP آسیب‌پذیر است. مهاجمان احراز هویت‌نشده می‌توانند با سوءاستفاده از کتابخانه TCPDF همراه افزونه و زنجیره POP موجود، به حذف فایل‌های دلخواه روی سرور بپردازند. برای رفع این تهدید امنیتی، اکیداً توصیه می‌شود افزونه در سریع‌ترین زمان ممکن به نسخه‌های بالاتر از 2.12.1 به‌روزرسانی شود.
نسخه‌های تحت تأثیر
<= 2.12.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته usc-e-shop را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://www.wordfence.com/threat-intel/vulnerabilities/id/716a7c3c-2e26-4da9-a299-7dcbaa7e4895?source=api-prod ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/716a7c3c-2e26-4da9-a299-7dcbaa7e4895 ↗
- https://plugins.trac.wordpress.org/browser/usc-e-shop/trunk/classes/cart.class.php#L546 ↗
- https://plugins.trac.wordpress.org/browser/usc-e-shop/trunk/classes/orderData.class.php#L41 ↗
- https://plugins.trac.wordpress.org/browser/usc-e-shop/trunk/functions/function.php#L218 ↗
- https://plugins.trac.wordpress.org/browser/usc-e-shop/trunk/functions/hoock_func.php#L517 ↗
- https://plugins.trac.wordpress.org/browser/usc-e-shop/trunk/includes/order_print.php#L16 ↗
- https://plugins.trac.wordpress.org/browser/usc-e-shop/trunk/pdf/tcpdf/tcpdf.php#L7794 ↗
- https://plugins.trac.wordpress.org/changeset/3673344/usc-e-shop/trunk/classes/orderData.class.php ↗
- https://plugins.trac.wordpress.org/changeset?old_path=%2Fusc-e-shop/tags/2.12.1&new_path=%2Fusc-e-shop/tags/2.12.2 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&new=3673346%40usc-e-shop%2Ftags%2F2.12.2&old=3651925%40usc-e-shop%2Ftags%2F2.12.1 ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/716a7c3c-2e26-4da9-a299-7dcbaa7e4895?source=cve ↗