→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-107887 · advanced-twenty-seventeen
جعل درخواست میان‌وب‌گاهی (CSRF) در افزونه Advanced Twenty Seventeen
افزونه Advanced Twenty Seventeen تا نسخه ۱.۳.۱ هنگام ایجاد و فعال‌سازی قالب فرزند همراه خود هیچ بررسی سطح دسترسی (capability) یا نانس (nonce) انجام نمی‌دهد. در نتیجه هر کاربر احراز هویت‌شده، حتی با نقش مشترک (Subscriber)، می‌تواند قالب فعال کل سایت را تغییر دهد و همین اقدام از راه CSRF علیه هر کاربر واردشده، از جمله مدیر، قابل اجراست. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا این اقدام را با فایروال وب (WAF) محدود نمایید.
نسخه‌های تحت تأثیر
<= 1.3.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته advanced-twenty-seventeen را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.