→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-109592 · desktop-mode

دور زدن مجوز دسترسی (Authorization Bypass) در افزونه desktop-mode (OpenStation) وردپرس

متوسط plugin CVSS 4.3

افزونه OpenStation: Desktop Windows, Dock & Virtual Desktops for WP Admin در همه نسخه‌ها تا ۱.۱.۱۶، به‌دلیل بررسی نادرست مجوز کاربر، به مهاجمان احرازهویت‌شده با سطح دسترسی مشترک (Subscriber) و بالاتر اجازه می‌دهد ردیف‌های چیدمان کاربران دیگر (موقعیت، ترتیب، پوشه والد و متا) را تغییر دهند و فراداده سریال‌شده موجودیت‌های مرتبط، از جمله عنوان، پیوند یکتا و وضعیت نوشته، را بخوانند. سوءاستفاده نیازمند وجود دست‌کم یک چیدمان یتیم است که به‌طور طبیعی از فرآیند حذف افزونه ایجاد می‌شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دسترسی به قابلیت‌های آن را با فایروال وب محدود نمایید.

نسخه‌های تحت تأثیر

<= 1.1.16

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته desktop-mode را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

دور زدن مجوز دسترسی (Authorization Bypass) در افزونه desktop-mode (OpenStation) وردپرس

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر