یک نقص امنیتی جدید با شناسه CVE-2026-110191 در افزونه Product Delivery Date for WooCommerce (نسخه‌های پیش از 3.3.2) شناسایی شده است که منجر به افشای اطلاعات حساس مشتریان می‌شود.
جزئیات فنی آسیب‌پذیری
این آسیب‌پذیری از نوع Information Disclosure (افشای اطلاعات) است و به دلیل عدم بررسی سطح دسترسی (Capability Check) در توابع AJAX مربوط به نمای تقویم (Calendar View) رخ می‌دهد. در حالت عادی، دسترسی به جزئیات سفارش‌ها باید محدود به مدیران یا کارکنان مجاز باشد، اما در نسخه‌های آسیب‌پذیر، این بررسی امنیتی حذف شده یا به درستی اجرا نمی‌شود.
تاثیر و سطح دسترسی
به دلیل این نقص، کاربرانی که حتی دارای سطح دسترسی پایین مانند Contributor (همکار) هستند، می‌توانند از طریق فراخوانی‌های AJAX، اطلاعات سفارشات سایر مشتریان را مشاهده کنند. این موضوع می‌تواند منجر به نشت داده‌های شخصی و تجاری کاربران شود.
راهکار مقابله
- مدیران سایت‌های وردپرسی که از این افزونه استفاده می‌کنند، باید سریعاً آن را به نسخه 3.3.2 یا بالاتر به‌روزرسانی کنند.
- بررسی لاگ‌های AJAX برای شناسایی درخواست‌های غیرعادی از سوی کاربران با سطح دسترسی پایین توصیه می‌شود.
