→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-103997 · redux-framework

دور زدن مجوز دسترسی در افزونه Redux Framework (Authorization Bypass)

افزونه Redux Framework در تمام نسخه‌های ۴.۵.۱۵ و پایین‌تر به‌دلیل عدم بررسی صحیح مجوز کاربر، به مهاجمان احراز هویت‌شده با سطح دسترسی مشترک (Subscriber) و بالاتر اجازه می‌دهد کل داده‌های تنظیمات Redux — شامل گذرواژه‌های متن‌ساده، کلیدهای API، کلیدهای لایسنس و اطلاعات ورود SMTP — را که در بلوک جاوااسکریپت صفحه پروفایل مدیریت قرار دارند مشاهده کنند. از آنجا که افزونه Users به‌صورت خودکار برای هر نمونه Redux بارگذاری می‌شود، هر وب‌سایتی که این چارچوب را اجرا می‌کند صرف‌نظر از تنظیمات توسعه‌دهنده در معرض خطر است. تاکنون وصله رسمی برای این آسیب‌پذیری منتشر نشده است؛ بنابراین توصیه می‌شود افزونه به‌طور موقت غیرفعال شود یا از فایروال برنامه‌های وب (WAF) برای کاهش خطر استفاده گردد.