آسیب‌پذیری حیاتی در افزونه WooCommerce Social Login وردپرس و خطر کنترل کامل سایت

یک آسیب‌پذیری بسیار خطرناک در افزونه محبوب «WooCommerce Social Login» وردپرس شناسایی شده که به مهاجمان اجازه می‌دهد بدون نیاز به احرازهویت، کنترل کامل وب‌سایت‌های فروشگاهی را در دست بگیرند.

این نقص امنیتی که از نوع «دور زدن احرازهویت» (Authentication Bypass) است، درجه بحرانی ۹.۸ از ۱۰ را دریافت کرده و تمام نسخه‌های افزونه تا نسخه ۲.۸.۷ (شامل خود این نسخه) را تحت تأثیر قرار می‌دهد. مهاجم برای بهره‌برداری از این حفره، به هیچ سطح دسترسی خاصی نیاز ندارد و می‌تواند به حساب کاربری هر فردی، از جمله مدیر کل سایت، وارد شود.

افزونه WooCommerce Social Login به مشتریان فروشگاه‌های آنلاین اجازه می‌دهد تا با یک کلیک و با استفاده از حساب‌های کاربری خود در سرویس‌هایی مانند فیسبوک (Facebook)، گوگل (Google)، آمازون (Amazon)، پی‌پال (PayPal) و اپل (Apple)، به سرعت وارد سایت شده و فرآیند خرید را تکمیل کنند.

این آسیب‌پذیری مشخصاً در بخش مدیریت ورود با حساب اپل (Apple login handler) این افزونه قرار دارد. زمانی که کاربری تلاش می‌کند با حساب اپل خود وارد شود، اپل یک توکن هویتی (identity token) حاوی اطلاعات کاربر را ارسال می‌کند. این توکن باید با کلیدهای عمومی اپل اعتبارسنجی شود تا از صحت آن اطمینان حاصل گردد. مشکل دقیقاً در همین مرحله رخ می‌دهد؛ افزونه این اعتبارسنجی را به درستی انجام نمی‌دهد و به مهاجم اجازه می‌دهد با ارائه یک توکن جعلی که حاوی ایمیل یک کاربر موجود در سایت (مثلاً مدیر) است، به حساب کاربری او دسترسی پیدا کند.

به گفته شرکت امنیت سایبری وردفنس (Wordfence): «این نقص به مهاجمان احرازهویت‌نشده امکان می‌دهد تا با ارائه یک توکن جعلی که حاوی آدرس ایمیل کاربر هدف است، به عنوان هر کاربر وردپرسی موجود، از جمله مدیران، وارد سیستم شوند. زیرا افزونه بدون بررسی نقش کاربری، بلافاصله یک جلسه احرازهویت‌شده برای آن ایمیل صادر می‌کند.»

از آنجایی که حساب‌های کاربری مدیران نیز از این قاعده مستثنی نیستند، یک حمله موفق می‌تواند دسترسی کامل مدیریتی به سایت ووکامرس را برای مهاجم فراهم کند. این آسیب‌پذیری با شناسه CVE-2026-8457 در تاریخ ۱ آگوست ۲۰۲۶ به صورت عمومی افشا شد.

توصیه اکید وردفنس به تمام کاربرانی که از نسخه‌های ۲.۸.۷ و پایین‌تر این افزونه استفاده می‌کنند، این است که در اسرع وقت آن را به نسخه ۲.۸.۸ یا بالاتر به‌روزرسانی کنند.

با توجه به محبوبیت بسیار زیاد وردپرس و ووکامرس برای راه‌اندازی فروشگاه‌های اینترنتی در ایران، این آسیب‌پذیری یک تهدید جدی برای کسب‌وکارهای آنلاین ایرانی محسوب می‌شود. مهاجم با در اختیار گرفتن کنترل سایت می‌تواند به اطلاعات مشتریان، سوابق سفارش‌ها و داده‌های مالی دسترسی پیدا کرده و خسارات جبران‌ناپذیری به اعتبار و عملکرد یک کسب‌وکار وارد کند. بنابراین، به‌روزرسانی فوری این افزونه برای تمام مدیران سایت‌های ایرانی که از آن استفاده می‌کنند، یک اقدام امنیتی حیاتی است.