→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-104010 · contactsheets-lite
اجرای کد از راه دور (RCE) در افزونه WPSyncSheets For Contact Form 7 – CF7 Google Sheets Connector & Save to Database
افزونه WPSyncSheets For Contact Form 7 (contactsheets-lite) در نسخه‌های ۱.۸.۰ و قبل از آن، به‌دلیل پاک‌سازی ناکافی مقادیر فیلدهای فرم تماس ۷ پیش از ذخیره در پایگاه‌داده و غیردسریال‌سازی ناامن داده‌ها هنگام مشاهده در پیشخوان، در برابر تزریق شیء PHP و در نتیجه اجرای کد از راه دور آسیب‌پذیر است. مهاجمان بدون احراز هویت، در صورتی که اتصال گوگل‌شیتس در افزونه پیکربندی شده باشد، می‌توانند کد دلخواه را روی سرور اجرا کرده و کنترل وب‌سایت را به‌دست بگیرند. از آنجا که وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 1.8.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته contactsheets-lite را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.