آسیب پذیری افشای اطلاعات حساس در داده‌های ارسالی افزونه FluentCart (CVE-2026-109695)

شناسه CVE: CVE-2026-109695
تاریخ انتشار: ۱۵ اکتبر ۲۰۲۶، ساعت ۱۱:۰۰
شدت: ۷.۵ از ۱۰ (بالا)

شرح آسیب پذیری:
در افزونه FluentCart محصول WPManageNinja با اسلاگ fluent-cart، یک آسیب پذیری از نوع «درج اطلاعات حساس در داده‌های ارسالی» (Insertion of Sensitive Information Into Sent Data) شناسایی شده است. این نقص امنیتی که در دسته CWE-201 قرار می‌گیرد، به مهاجم اجازه می‌دهد داده‌های حساس جاسازی‌شده در پاسخ‌های ارسالی برنامه را استخراج کند. نسخه‌های آسیب پذیر این افزونه تا 1.7.1 هستند.

جزئیات فنی:
آسیب پذیری‌های Insertion of Sensitive Information Into Sent Data زمانی رخ می‌دهند که برنامه، داده‌های حساسی مانند توکن‌ها، کلیدهای دسترسی، اطلاعات پیکربندی، داده‌های مشتریان یا جزئیات داخلی را در پاسخ‌های HTTP یا ساختارهای داده ارسالی به کلاینت قرار می‌دهد. در FluentCart، این ضعف به مهاجم اجازه می‌دهد با تحلیل پاسخ‌های دریافتی از فروشگاه، اطلاعاتی را استخراج کند که معمولاً باید در لایه‌های داخلی سرور باقی بمانند. از آنجا که FluentCart برای مدیریت فروشگاه، سبد خرید، سفارش‌ها و تراکنش‌های پرداخت استفاده می‌شود، سوءاستفاده از این آسیب پذیری می‌تواند به افشای اطلاعات مشتریان، جزئیات سفارش‌ها، توکن‌های دسترسی و در برخی سناریوها کلیدهای مرتبط با درگاه پرداخت منجر شود. شدت بالای این آسیب پذیری (۷.۵) نشان می‌دهد که بهره‌برداری از آن نیازمند دسترسی اولیه پیچیده نیست، اما پیامدهای افشای اطلاعات می‌تواند جدی باشد.

توصیه امنیتی:
مدیران فروشگاه‌های ووکامرس و کاربران FluentCart باید در اسرع وقت این افزونه را به نسخه‌ای بالاتر از 1.7.1 ارتقا دهند. تا زمان به‌روزرسانی، توصیه می‌شود پاسخ‌های API و داده‌های ارسالی به کلاینت بازبینی شده و اطلاعات حساس از آن‌ها حذف یا ماسک شوند. فعال‌سازی WAF، پایش ترافیک خروجی برای شناسایی داده‌های غیرعادی، محدودکردن دسترسی به APIها و بازبینی مجوزهای کاربران از اقدامات کاهشی مؤثر هستند. همچنین توصیه می‌شود پس از به‌روزرسانی، توکن‌های دسترسی و کلیدهای مرتبط با درگاه پرداخت که ممکن است افشا شده باشند، بازتولید یا تغییر داده شوند.

نکته عملیاتی برای تیم‌های دواپس و امنیت سرور:
افشای اطلاعات از طریق داده‌های ارسالی، یکی از مسیرهای کم‌سر‌و‌صداتر اما پرخطر نشت داده در فروشگاه‌های آنلاین است. بازبینی دوره‌ای پاسخ‌های API، اعمال سیاست‌های حداقل افشا، پایش ترافیک خروجی و سخت‌سازی لایه‌های ارتباطی، بخشی از اصول نگهداری امن زیرساخت محسوب می‌شود. در فروشگاه‌هایی که داده‌های پرداخت و اطلاعات مشتریان در حجم بالا نگهداری می‌شود، توجه به این لایه‌های ظریف می‌تواند از بروز حادثه امنیتی گسترده و مسئولیت حقوقی ناشی از آن جلوگیری کند.