→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-108092 · blog2social

ارجاع مستقیم و ناامن به اشیاء (IDOR) در افزونه Blog2Social

متوسط plugin CVSS 4.3

افزونه Blog2Social – Social Media Auto Post & Scheduler در همه نسخه‌های تا ۹.۱.۴ و از جمله آن، به‌دلیل نبود بررسی مجوز به‌ازای هر شیء روی پارامتر postId در هندلرهای AJAX با نام‌های b2s_ship_item و b2s_ship_item_reload_url، در برابر ارجاع مستقیم ناامن به شیء (IDOR) آسیب‌پذیر است. مهاجمان احرازهویت‌شده با سطح دسترسی Contributor و بالاتر می‌توانند عنوان و محتوای هر نوشته، از جمله نوشته‌های خصوصی و در انتظار بررسی متعلق به کاربران دیگر را بخوانند. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دسترسی به این هندلرها را با فایروال وب (WAF) محدود نمایید.

نسخه‌های تحت تأثیر

<= 9.1.4

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته blog2social را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

ارجاع مستقیم و ناامن به اشیاء (IDOR) در افزونه Blog2Social

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر