→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-94375 · order-import-export-for-woocommerce

افشای اطلاعات حساس (Sensitive Information Exposure) در افزونه Order Export & Order Import for WooCommerce

متوسط plugin CVSS 5.3

افزونه Order Export & Order Import for WooCommerce در نسخه‌های ۲.۷.۸ و پایین‌تر از طریق get_file_path دچار افشای اطلاعات حساس است و مهاجم احراز هویت‌نشده می‌تواند فایل‌های CSV صادرشده سفارش‌ها را که شامل اطلاعات شخصی مشتریان مانند نام، نشانی صورتحساب و ارسال، ایمیل، تلفن و محتوای سفارش است، مستقیماً از طریق HTTP دریافت کند. این وضعیت زمانی رخ می‌دهد که فایل‌های محافظ .htaccess و index.php در مسیر صادرات وجود نداشته باشند؛ مثلاً پس از حذف و نصب مجدد، مهاجرت، بازیابی نسخه پشتیبان یا همگام‌سازی محیط آزمایشی. چون وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.

نسخه‌های تحت تأثیر

<= 2.7.8

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته order-import-export-for-woocommerce را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

افشای اطلاعات حساس (Sensitive Information Exposure) در افزونه Order Export & Order Import for WooCommerce

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر