→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-87846 · shipping-for-nova-poshta
نبود بررسی مجوز در اقدام AJAX افزونه Shipping for Nova Poshta
افزونه Shipping for Nova Poshta تا نسخه ۱.۱۹.۸ روی یکی از اقدامات AJAX که برای کاربران احراز هویت‌نشده در دسترس است، هیچ بررسی مجوز، نانس یا مالکیت انجام نمی‌دهد. در نتیجه هر فردی می‌تواند سوابق مرسوله سفارش‌های دلخواه را حذف کند و فروشگاه را وادار سازد با استفاده از اعتبارنامه‌های API ذخیره‌شده خودش، درخواست حذف بارنامه را برای شرکت حمل ارسال کند. چون وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 1.19.8
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته shipping-for-nova-poshta را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.