→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-104671 · tutorstarter
دور زدن تنظیم ثبت‌نام کاربران و ایجاد حساب غیرمجاز در قالب TutorStarter
در قالب TutorStarter وردپرس در نسخه‌های ۴.۰.۴ و قبل از آن، یکی از هندلرهای ثبت‌نام مبتنی بر AJAX تنظیم ثبت‌نام کاربران سایت را رعایت نمی‌کند. در نتیجه بازدیدکنندگان احراز هویت‌نشده می‌توانند حتی وقتی ثبت‌نام در وردپرس غیرفعال است حساب کاربری جدید بسازند و دسترسی اولیه به سایت به‌دست آورند. چون وصله امنیتی منتشر شده است، مدیران باید فوراً قالب را به نسخه‌ای جدیدتر از ۴.۰.۴ به‌روزرسانی کنند.
نسخه‌های تحت تأثیر
<= 4.0.4
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته tutorstarter را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.