آسیب‌پذیری بحرانی در افزونه TI WooCommerce Wishlist

اخیراً گزارشی از وب‌سایت امنیتی The Hacker News منتشر شده که نشان می‌دهد بیش از ۱۰۰ هزار وب‌سایت وردپرسی با نصب افزونه محبوب TI WooCommerce Wishlist در معرض یک آسیب‌پذیری بحرانی با امتیاز CVSS ۱۰ از ۱۰ قرار دارند. این باگ به مهاجمان اجازه می‌دهد فایل‌های مخرب را بدون احراز هویت بارگذاری کرده و به سرور نفوذ کنند.

جزئیات آسیب‌پذیری

1. کد آسیب‌پذیری: CVE-2025-47577
2. نوع باگ: آپلود فایل دلخواه (Unrestricted File Upload)
3. سطح خطر: بحرانی (Critical)
4. افزونه آسیب‌پذیر: TI WooCommerce Wishlist
5. نسخه‌های آسیب‌پذیر: تمامی نسخه‌های ۲.۹.۲ و پایین‌تر
6. وضعیت وصله: هنوز پچ امنیتی رسمی منتشر نشده است

تحلیل فنی

این آسیب‌پذیری به دلیل استفاده نادرست از تابع wp_handle_upload() وردپرس در تابع tinvwl_upload_file_wc_fields_factory ایجاد شده است. توسعه‌دهندگان افزونه با غیرفعال‌سازی پارامترهای امنیتی test_form و test_type در هنگام بارگذاری فایل، مسیر حمله را برای مهاجمان باز گذاشته‌اند.

در صورتی که افزونه WC Fields Factory نیز در سایت فعال باشد، مسیر بارگذاری فایل فعال شده و مهاجم بدون هیچ احراز هویتی می‌تواند فایل‌های خطرناک PHP یا Shell را به سرور منتقل کند.

پیامدهای احتمالی

اگر این حفره امنیتی توسط مهاجم استفاده شود، سایت ممکن است با عواقب زیر مواجه شود:

• دسترسی کامل به فایل‌های سرور و دیتابیس
• نصب backdoor و shell برای کنترل دائمی
• نفوذ به حساب‌های مدیریت وردپرس
• تغییر صفحات سایت و ایجاد تغییرات مخرب

راهکارهای فوری برای مدیران سایت وردپرس

1. افزونه را غیرفعال و حذف کنید
   1. تا زمان انتشار نسخه ایمن، افزونه TI WooCommerce Wishlist را حذف یا غیرفعال کنید.
2. افزونه‌های مرتبط را بررسی کنید
   1. اگر از WC Fields Factory نیز استفاده می‌کنید، آن را غیرفعال نمایید.
3.  بررسی بارگذاری‌های مشکوک
   1. پوشه‌های uploads و wp-content را برای فایل‌های ناشناس بررسی کنید.
4.  استفاده از افزونه‌های امنیتی
   1. افزونه‌هایی مانند Wordfence یا iThemes Security می‌توانند از بارگذاری فایل‌های مشکوک جلوگیری کنند.
5.  فعال‌سازی فایروال WAF
   1. برای جلوگیری از حملات مشابه، پیشنهاد می‌شود از فایروال‌های ابری مثل Cloudflare WAF استفاده کنید.

نتیجه‌گیری

آسیب‌پذیری CVE-2025-47577 یک تهدید جدی برای سایت‌های وردپرسی است که از افزونه TI WooCommerce Wishlist استفاده می‌کنند. پیشگیری سریع، غیرفعال‌سازی افزونه و نظارت دقیق روی فایل‌های بارگذاری‌شده می‌تواند از نفوذ مهاجمان جلوگیری کند.