→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-107770 · wplr-sync
دور زدن مجوز دسترسی (Authorization Bypass) در افزونه Photo Engine (wplr-sync)
افزونه Photo Engine (Media Organizer & Lightroom) با شناسه wplr-sync در همه نسخه‌های تا ۶.۵.۶، پیش از حذف یا بارگذاری پیوست‌های رسانه‌ای مجوز کاربر را به‌درستی بررسی نمی‌کند. به همین دلیل مهاجم احراز هویت‌نشده می‌تواند پیوست‌های دلخواه را برای همیشه حذف کند یا پیوست جدید بارگذاری کند؛ کارهایی که معمولاً به قابلیت upload_files یا edit_others_posts نیاز دارند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی مرتبط را با فایروال برنامه‌های وب محدود کنید.
نسخه‌های تحت تأثیر
<= 6.5.6
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wplr-sync را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L155 ↗
- https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L56 ↗
- https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L116 ↗
- https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L201 ↗
- https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L309 ↗
- https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L32 ↗
- https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/core.php#L923 ↗
- https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync ↗
- https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync/trunk/classes/api.php ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/2f32c361-9bb3-417b-a5a9-02e48bfa33b4?source=cve ↗