یک آسیب‌پذیری امنیتی بحرانی با شناسه CVE-2026-19907 در افزونه Shipo برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است. این نقص امنیتی در نسخه‌های 1.6 تا 1.8.0 این افزونه وجود دارد و به مهاجمان اجازه می‌دهد بدون داشتن اعتبارنامه‌های معتبر، احراز هویت را دور بزنند.
جزئیات فنی آسیب‌پذیری
ریشه این مشکل در تابع authenticate_rest_user() نهفته است. این تابع مقدار LOGGED_IN_COOKIE را تجزیه و تحلیل کرده و کاربر نام‌گذاری شده را احراز هویت می‌کند، اما نکته بحرانی این است که امضای رمزنگاری (Cryptographic Signature) کوکی را بررسی نمی‌کند. این نقص باعث می‌شود هر کسی که بتواند یک کوکی ساختگی ایجاد کند، به عنوان کاربر مورد نظر شناسایی شود.
روش دور زدن محدودیت‌ها
علاوه بر نقص در اعتبارسنجی کوکی، محدودیت‌های مسیر (Route Restriction) در مسیر /wp-json/shipo/ نیز قابل دور زدن است. مهاجم می‌تواند با قرار دادن این عبارت در رشته پرس‌وجو (Query String) یک نقطه انتهایی (Endpoint) نامرتبط در REST API، محدودیت‌های امنیتی را دور زده و به توابع حساس دسترسی پیدا کند.
تأثیرات امنیتی
در صورت بهره‌برداری از این آسیب‌پذیری، مهاجمانی که تنها نام کاربری (Username) یک کاربر فعال را می‌دانند، می‌توانند خود را به جای آن کاربر جا بزنند. این موضوع در صورتی که هدف مهاجم یک کاربر با سطح دسترسی Administrator باشد، منجر به کنترل کامل سایت و دسترسی به تمامی قابلیت‌های مدیریتی خواهد شد.
