→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-106646 · classified-listing
نقص کنترل دسترسی و دستکاری غیرمجاز رسانه‌ها در افزونه Classified Listing وردپرس
افزونه Classified Listing در نسخه‌های ۶٫۱٫۱ و پایین‌تر، هنگام درخواست گالری که به یک مورد رسانه‌ای پیوست‌نشده اشاره می‌کند، بررسی نمی‌کند که درخواست‌دهنده مالک آگهی هدف است یا مجوز ویرایش آن را دارد. در نتیجه هر کاربر احراز هویت‌شده با سطح دسترسی مشترک (Subscriber) می‌تواند پیوست‌های کتابخانه رسانه متعلق به سایر کاربران، از جمله مدیران سایت، را تغییر دهد، خراب کند یا حذف کند. وصله رسمی این آسیب‌پذیری هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی به قابلیت‌های مرتبط را با دیوار آتش برنامه‌های وب (WAF) محدود نمایید.
نسخه‌های تحت تأثیر
<= 6.1.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته classified-listing را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.