یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-93508 در افزونه WC Fields Factory برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی در نسخه‌های پیش از 4.1.11 وجود دارد و به دلیل عدم کنترل صحیح دسترسی در اکشن‌های AJAX مربوط به مدیریت فیلدها رخ می‌دهد.
جزئیات فنی آسیب‌پذیری
در این افزونه، مکانیزم‌های احراز هویت و بررسی سطح دسترسی برای عملیات‌های AJAX به درستی پیاده‌سازی نشده‌اند. این موضوع به کاربران احراز هویت شده (Authenticated Users) با سطح دسترسی Subscriber (دنبال‌کننده) و بالاتر اجازه می‌دهد تا اقدامات زیر را انجام دهند:
- ایجاد، تغییر و حذف متادیتای پست‌ها (Post Meta) به صورت دلخواه در هر پستی، بدون توجه به مالکیت آن.
- دستکاری متادیتای مربوط به محصولات WooCommerce.
- تغییر قوانین قیمت‌گذاری ذخیره شده در محصولات برای کاهش قیمت نهایی در مرحله پرداخت (Checkout).
تأثیرات تجاری و امنیتی
این آسیب‌پذیری به شدت خطرناک است زیرا حتی کاربران با کمترین سطح دسترسی می‌توانند با سوءاستفاده از این نقص، قیمت کالاهای یک فروشگاه اینترنتی را تغییر داده و منجر به ضررهای مالی مستقیم برای مالک سایت شوند. همچنین، امکان تغییر متادیتای پست‌ها می‌تواند منجر به تخریب داده‌ها یا تغییر در رفتار کلی وب‌سایت گردد.
راهکار مقابله
به تمامی مدیران وب‌سایت‌هایی که از این افزونه استفاده می‌کنند توصیه می‌شود در سریع‌ترین زمان ممکن، افزونه WC Fields Factory را به نسخه 4.1.11 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
