→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-108066 · wp-2fa
نقص بررسی مجوز در سطح شیء هنگام حذف پیکربندی احراز هویت دو مرحله‌ای در افزونه WP 2FA
افزونه WP 2FA در نسخه‌های ۴.۲.۰ و قبل از آن، پیش از حذف پیکربندی احراز هویت دو مرحله‌ای (2FA) کاربر، بررسی مجوز در سطح شیء انجام نمی‌دهد. در نتیجه مدیر یک سایت در وردپرس چندسایته (Multisite) می‌تواند پیکربندی 2FA کاربرانی را که خارج از سایت خودش هستند و اجازه ویرایش آن‌ها را ندارد حذف کند؛ در نصب تک‌سایته این مرز اعتماد عملاً نقض نمی‌شود، چون مدیر از قبل امکان مدیریت همه کاربران را دارد. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا با فایروال وب دسترسی به عملکرد حذف پیکربندی 2FA را محدود نمایید.
نسخه‌های تحت تأثیر
<= 4.2.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-2fa را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.