→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-106004 · dt-lms
نقص کنترل دسترسی و عدم بررسی Capability و Nonce در اکشن AJAX افزونه DT LMS وردپرس
افزونه DT LMS وردپرس تا نسخه ۱.۲ در یکی از اکشن‌های AJAX خود بررسی سطح دسترسی (capability) و نانس (nonce) انجام نمی‌دهد. به همین دلیل مهاجمان احراز هویت‌نشده می‌توانند وضعیت تکمیل دوره و کلاس هر فراگیر را لغو کنند و یکپارچگی سوابق آموزشی سایت را مختل سازند. وصله رسمی تاکنون منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا دسترسی به آن را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 1.2
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته dt-lms را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.