→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-81649 · fundiin-cho-woocommerce
آسیب‌پذیری عدم احراز هویت و تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Fundiin cho WooCommerce
افزونه Fundiin cho WooCommerce تا نسخه 3.4.0 دارای نقص عدم بررسی دسترسی در مسیرهای REST API خود است و از اطلاعات محرمانه‌ای استفاده می‌کند که در تمامی نصب‌ها یکسان است. این نقص به مهاجمان احراز هویت‌نشده اجازه می‌دهد تا اطلاعات پرداخت و سفارشات مشتریان را افشا کنند، پیکربندی درگاه پرداخت را تغییر دهند و سفارشات پرداخت‌نشده را به عنوان پرداخت‌شده علامت‌گذاری کنند. همچنین، این آسیب‌پذیری امکان تزریق اسکریپت ذخیره‌شده (Stored XSS) را فراهم می‌کند که توصیه می‌شود برای رفع خطر، افزونه بلافاصله به نسخه امن به‌روزرسانی شود.
نسخه‌های تحت تأثیر
<= 3.4.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته fundiin-cho-woocommerce را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.