→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-87964 · webappick-product-feed-for-woocommerce
تزریق کدهای PHP (PHP Injection) در افزونه Product Feed Manager for WooCommerce – CTX Feed – Support 220+ Shopping, AI & Social Channels
افزونه Product Feed Manager for WooCommerce (CTX Feed) در نسخه‌های ۸.۰.۲۶ و پایین‌تر به‌دلیل پاک‌سازی ناکافی پارامتر feedConfigCustom2 در برابر تزریق کد PHP آسیب‌پذیر است؛ مقدار ذخیره‌شده هنگام تولید فید بدون پاک‌سازی در سطح کد به تابع eval() ارسال می‌شود. مهاجم احرازهویت‌شده با دسترسی مدیر فروشگاه (Shop Manager) یا بالاتر می‌تواند کد PHP دلخواه را روی سرور اجرا کرده و سطح دسترسی خود را افزایش دهد. از آنجا که وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 8.0.26
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته webappick-product-feed-for-woocommerce را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.