→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-8145 · wholesalex
ارتقای سطح دسترسی (Privilege Escalation) در افزونه WholesaleX
افزونه WholesaleX برای ووکامرس در همه نسخه‌های تا ۳.۰.۸، به‌دلیل نبود اعتبارسنجی پارامتر wholesalex_registration_role در تابع process_registration، در برابر افزایش سطح دسترسی محدود آسیب‌پذیر است. مهاجم احراز هویت‌نشده می‌تواند هنگام ثبت‌نام خود را با هر نقش موجود WholesaleX ثبت کند و به امکانات همان نقش دسترسی پیدا کند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا ثبت‌نام را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 3.0.8
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wholesalex را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/wholesalex/tags/2.3.7/includes/menu/class-wholesalex-registration.php#L1327 ↗
- https://plugins.trac.wordpress.org/browser/wholesalex/trunk/includes/menu/class-wholesalex-registration.php#L1327 ↗
- https://plugins.trac.wordpress.org/changeset/3529605/ ↗
- https://plugins.trac.wordpress.org/changeset/3703929/ ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/d3b9464c-dcc4-4ae8-816f-1572f84dfe08?source=cve ↗