→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-107507 · squadeno
نقض کنترل دسترسی در ذخیره‌سازی ورزش‌ها در افزونه Squadeno وردپرس
افزونه Squadeno در نسخه‌های پیش از ۱.۱۲.۰ محدودیت‌های مجوز را در همه مسیرهای ذخیره‌سازی یک ورزش اعمال نمی‌کند؛ بنابراین کاربری با نقش Trainer (پایین‌ترین سطح دسترسی) که به ورزشی اختصاص داده شده، می‌تواند بخش، گروه سنی، نویسنده، رمز عبور، تنظیمات دیدگاه و تاریخ همان ورزش را تغییر دهد. این نقص امکان دستکاری غیرمجاز محتوای ورزشی و تنظیمات مرتبط را در وب‌سایت فراهم می‌کند. چون وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه ۱.۱۲.۰ یا جدیدتر به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 1.12.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته squadeno را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.