→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-105894 · newsy

ارتقای سطح دسترسی (Privilege Escalation) در افزونه Newsy

افزونه Ak Framework وردپرس، که همراه قالب Newsy ارائه می‌شود، در همه نسخه‌های تا ۲.۹.۸ به‌دلیل نبود بررسی سطح دسترسی در هندلرهای ajax_refresh_nonce و ak_admin_ajax آسیب‌پذیر است و مهاجم احراز هویت‌نشده می‌تواند نام و مقدار گزینه‌های دلخواه را به update_option() بدهد. با تغییر گزینه‌هایی مانند users_can_register و default_role امکان فعال‌کردن ثبت‌نام و تعیین نقش پیش‌فرض مدیر و در نتیجه افزایش سطح دسترسی تا مدیر سایت وجود دارد. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه یا قالب آسیب‌پذیر را موقتاً غیرفعال کنید یا از فایروال برنامه‌های وب استفاده کنید.