→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-107319 · gamipress
افشای غیرمجاز گزارش فعالیت به‌دلیل نبود بررسی سطح دسترسی در افزونه GamiPress
افزونه GamiPress در نسخه‌های ۸.۰.۶ و پایین‌تر، روی یکی از اکشن‌های AJAX احراز هویت‌شده بررسی سطح دسترسی و تأیید مالکیت انجام نمی‌دهد. در نتیجه هر کاربر واردشده، حتی با نقش Subscriber، می‌تواند ورودی‌های دلخواه گزارش فعالیت را بخواند؛ از جمله موجودی امتیاز و دستاوردهای سایر کاربران و نام کاربری مدیرانی که امتیاز را به‌صورت دستی اعطا یا لغو کرده‌اند. وصله رسمی هنوز منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا با فایروال وب دسترسی به این قابلیت را محدود نمایید.
نسخه‌های تحت تأثیر
<= 8.0.6
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته gamipress را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.