→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-110019 · lpagery

دور زدن مجوز دسترسی (Authorization Bypass) در افزونه LPagery وردپرس

افزونه Bulk Page Generator – LPagery در همه نسخه‌ها تا ۳.۱.۰ به‌دلیل بررسی نادرست مجوز کاربر، به مهاجم احرازهویت‌شده با نقش Subscriber و بالاتر اجازه می‌دهد صفحه‌ها و فرایندهای تولید انبوه تحت مدیریت LPagery را که در حالت عادی فقط برای مدیر مجاز است ایجاد، ویرایش یا حذف کند. در نصب تازه پیش‌فرض که Freemius فعال نشده، اعتبارسنجی توکن Bearer ضعیف و قابل پیش‌بینی می‌شود و کاربر واردشده می‌تواند آن را جعل کند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دسترسی به قابلیت‌های حساس آن را با فایروال وب محدود نمایید.