→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-103646 · ultimate-multisite
تصاحب حساب کاربری (Account Takeover) در افزونه Ultimate Multisite
افزونه Ultimate Multisite در نسخه‌های ۲.۱۶.۰ و پایین‌تر، به‌دلیل نبود نرمال‌سازی ایمیل پیش از بررسی حساب تکراری و نبود محافظ require_new_user، به مهاجم احراز هویت‌نشده اجازه می‌دهد با ارسال ایمیل شناخته‌شده از طریق فرم پرداخت بدون رمز، نشست را به حساب موجود وردپرس از جمله مدیر ارشد شبکه متصل کند. این نقص می‌تواند به ورود غیرمجاز و تصاحب کامل حساب‌های کاربری سایت منجر شود. از آنجا که وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه‌ای جدیدتر از ۲.۱۶.۰ به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 2.16.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته ultimate-multisite را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.