آسیب پذیری Stored XSS در افزونه European VAT Compliance Assistant ووکامرس (CVE-2026-100316)

شناسه CVE: CVE-2026-100316
تاریخ انتشار: ۱۷ اکتبر ۲۰۲۶، ساعت ۸:۱۶
شدت: ۷.۲ از ۱۰ (بالا)

شرح آسیب پذیری:
افزونه European VAT Compliance Assistant برای ووکامرس در تمامی نسخه‌های تا 1.36.10 در برابر Stored Cross-Site Scripting از طریق هدر CF-IPCountry آسیب پذیر است. این ضعف ناشی از پالایش ناکافی ورودی و عدم Escape مناسب خروجی است و به مهاجمان بدون احراز هویت اجازه می‌دهد اسکریپت‌های وب دلخواه را در صفحات سایت تزریق کنند؛ اسکریپت‌هایی که هر بار بازدید کاربر از صفحه آلوده اجرا می‌شوند. مقدار مخرب هدر در طول فرآیند پرداخت مهمان به‌صورت عین به عین در post-meta سفارش ذخیره می‌شود، به این معنا که برای کاشتن payload هیچ حساب کاربری یا احراز هویتی لازم نیست.

جزئیات فنی:
هدر CF-IPCountry معمولاً توسط CDNهایی مانند Cloudflare برای اعلام کشور مبدأ درخواست ارسال می‌شود. در این آسیب پذیری، افزونه مقدار این هدر را بدون اعتبارسنجی و پالایش کافی دریافت کرده و آن را در متادیتای سفارش ذخیره می‌کند. از آنجا که امکان دستکاری هدر در درخواست‌های HTTP وجود دارد، مهاجم می‌تواند یک payload اسکریپتی را در مقدار هدر جاسازی کرده و با ثبت یک سفارش به‌صورت مهمان (Guest Checkout)، آن را در پایگاه داده ماندگار کند. پس از آن، هر بار که مدیر فروشگاه یا هر کاربری صفحه سفارش یا گزارش مرتبط را باز کند، اسکریپت مخرب در مرورگر او اجرا می‌شود. پیامدهای احتمالی شامل سرقت کوکی‌ها و توکن‌های نشست مدیر، تغییر تنظیمات فروشگاه، اجرای اقدامات مالی جعلی یا هدایت کاربران به صفحات فیشینگ است. از آنجا که فرآیند ثبت سفارش مهمان معمولاً برای عموم باز است، سطح تماس با این آسیب پذیری بالاست و احتمال بهره‌برداری آن افزایش می‌یابد.

توصیه امنیتی:
مدیران فروشگاه‌های ووکامرس باید در اسرع وقت افزونه European VAT Compliance Assistant را به نسخه‌ای بالاتر از 1.36.10 ارتقا دهند. تا زمان به‌روزرسانی، توصیه می‌شود مقدار هدر CF-IPCountry در سمت سرور اعتبارسنجی شده و تنها مقادیر مجاز (کدهای دوحرفی کشور) پذیرفته شوند. فعال‌سازی WAF با قواعد مقابله با XSS، اعمال Content Security Policy (CSP)، پایش محتوای post-meta سفارش‌ها برای شناسایی مقادیر مشکوک و بازبینی سفارش‌های مهمان از اقدامات کاهشی مؤثر هستند.

نکته عملیاتی برای تیم‌های دواپس و امنیت سرور:
اعتماد به هدرهای HTTP ارسالی از سمت کلاینت یا CDN، یکی از رایج‌ترین دلایل بروز آسیب پذیری‌های تزریقی در فروشگاه‌های آنلاین است. اعتبارسنجی سخت‌گیرانه هدرها در لبه شبکه، پایش محتوای ذخیره‌شده در پایگاه داده، اعمال سیاست‌های CSP و بازبینی دوره‌ای رفتار افزونه‌های مالی و مالیاتی، بخشی از اصول نگهداری امن زیرساخت فروشگاه محسوب می‌شود. در محیط‌هایی که چند فروشگاه ووکامرس مدیریت می‌شود، توجه به این لایه‌های ظریف می‌تواند از تبدیل یک هدر ساده به یک حادثه امنیتی گسترده جلوگیری کند.