→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-106031 · spin-wheel
افشا و تخلیه غیرمجاز کدهای کوپن بدون احراز هویت در افزونه Spin Wheel
افزونه Spin Wheel در نسخه‌های ۲.۲.۱ و پایین‌تر، پیش از بازگرداندن و مصرف کوپن جایزه بررسی نمی‌کند که بازدیدکننده واقعاً یک چرخش مشروع انجام داده باشد. به همین دلیل کاربر احراز هویت‌نشده می‌تواند کدهای کوپن ذخیره‌شده هر کمپین، از جمله کمپین‌های منتشرنشده، را افشا و تخلیه کند و اعتبار جوایز سایت را از بین ببرد. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار اصلاحیه، افزونه را موقتاً غیرفعال کنید یا دسترسی به آن را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 2.2.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته spin-wheel را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.