یک آسیب‌پذیری امنیتی بسیار شدید با شناسه CVE-2026-100109 در افزونه Security For WooCommerce (نسخه‌های 1.0.10 تا 1.0.16) شناسایی شده است. این نقص امنیتی به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، حساب‌های کاربری با سطح دسترسی مدیر (Administrator) ایجاد کرده و کنترل کامل وب‌سایت را به دست بگیرند.
تحلیل فنی نقص امنیتی
ریشه این مشکل در نبود بررسی‌های لازم برای سطح دسترسی (Capability Checks) در یکی از اکشن‌های مربوط به ایجاد کاربر در این افزونه است. در حالت عادی، ایجاد حساب کاربری با نقش مدیر باید محدود به کاربران دارای مجوز باشد، اما در نسخه‌های آسیب‌پذیر، این اکشن در برابر بازدیدکنندگان غیرمجاز باز است و به مهاجم اجازه می‌دهد نقش (Role) حساب جدید را به صورت دستی تعیین کند.
- بردار حمله: شبکه (Network)
- پیچیدگی حمله: پایین (Low)
- احراز هویت مورد نیاز: ندارد (None)
- تعامل کاربر: ندارد (None)
تاثیرات و ریسک‌های تجاری
با توجه به اینکه این افزونه برای تامین امنیت فروشگاه‌های WooCommerce استفاده می‌شود، بهره‌برداری از این آسیب‌پذیری می‌تواند منجر به پیامدهای جبران‌ناپذیری شود، از جمله:
- دسترسی کامل به پنل مدیریت وردپرس (Full Site Takeover).
- سرقت داده‌های حساس مشتریان و اطلاعات پرداخت.
- تغییر در عملیات فروشگاه و دستکاری قیمت‌ها یا سفارشات.
- نصب بدافزار یا ایجاد درهای پشتی (Backdoor) برای دسترسی‌های آتی.
راهکارهای مقابله و رفع آسیب‌پذیری
با توجه به اینکه در زمان تحلیل، وصله (Patch) رسمی توسط توسعه‌دهنده منتشر نشده است، اقدامات زیر به شدت توصیه می‌شود:
- غیرفعال‌سازی فوری: سریع‌ترین راه برای متوقف کردن این تهدید، غیرفعال کردن و حذف افزونه Security For WooCommerce تا زمان انتشار نسخه اصلاح شده است.
- استفاده از WAF: در صورتی که حذف افزونه امکان‌پذیر نیست، از یک فایروال وب (WAF) برای شناسایی و مسدود کردن درخواست‌های مشکوک به اکشن‌های ایجاد کاربر استفاده کنید.
- حسابرسی (Audit): لیست حساب‌های مدیر سایت را بررسی کرده و هرگونه حساب مشکوک یا تعریف نشده را فوراً حذف کنید.
- اعمال MFA: برای تمامی حساب‌های مدیریتی، احراز هویت چندعاملی (Multi-Factor Authentication) را فعال کنید تا ریسک تصاحب حساب کاهش یابد.
