→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-87968 · product-feed-for-google-shopping-microsoft-advertising-and-40-channels-for-woocommerce-merchant
نبود بررسی نانس و سطح دسترسی در اکشن AJAX ثبت فروشگاه افزونه Product Feed for WooCommerce Merchant
افزونه Product Feed for Google Shopping, Microsoft Advertising and 40+ Channels for WooCommerce Merchant در نسخه‌های ۵.۳.۲ و پایین‌تر، روی اکشن AJAX مربوط به ثبت فروشگاه در سرویس فید، بررسی نانس (nonce) یا سطح دسترسی (capability) انجام نمی‌دهد و این اکشن برای کاربران احراز هویت‌نشده در دسترس است. در نتیجه هر بازدیدکننده می‌تواند فروشگاه را وادار به ثبت مجدد کند و رمز ذخیره‌شده فروشگاه (shop secret) را بازنویسی نماید. وصله رسمی تاکنون منتشر نشده است؛ توصیه می‌شود افزونه به‌طور موقت غیرفعال شود یا دسترسی به این اکشن با فایروال وب (WAF) محدود گردد.
نسخه‌های تحت تأثیر
<= 5.3.2
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته product-feed-for-google-shopping-microsoft-advertising-and-40-channels-for-woocommerce-merchant را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.