→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-104694 · thrive-automator
تزریق کور کدهای SQL (Blind SQLi) در افزونه Thrive Automator
افزونه Thrive Automator در نسخه‌های ۱۱٫۲ و پایین‌تر، کلید آرایه‌ای یک پارامتر را پیش از استفاده در کوئری SQL به‌درستی پاک‌سازی و escape نمی‌کند. مهاجم احرازهویت‌شده با دسترسی سطح ویرایشگر (Editor) می‌تواند از این ضعف برای انجام تزریق SQL کور (Blind SQL Injection) سوءاستفاده کند و بسته به پیکربندی پایگاه‌داده، داده‌های سایت را بخواند یا تغییر دهد. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار اصلاحیه، افزونه را موقتاً غیرفعال کنید یا با دیوار آتش وب (WAF) درخواست‌های مشکوک را محدود نمایید.
نسخه‌های تحت تأثیر
<= 11.2
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته thrive-automator را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.