→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-110029 · squeeze
عدم چک سطح دسترسی در عمل AJAX افزونه Squeeze و امکان حذف پشتیبان و مشتقات WebP هر ضمیمه‌ای توسط کاربران Subscriber
افزونه Squeeze قبل از نسخه 1.8.1 بدون انجام چک قابلیت در یکی از عمل‌های AJAX خود، به کاربران احراز هویت با نقش Subscriber اجازه می‌دهد تا هر ضمیمه‌ای را به نسخه پشتیبان آن بازگرداند و آن پشتیبان و مشتقات WebP تولید شده توسط افزونه را به طور دائمی حذف کند، بدون توجه به مالکیت فایل. این آسیب‌پذیری به مهاجمان اجازه می‌دهد تا داده‌های حساس را حذف کرده و وب‌سایت را مختل کنند. پچ رسمی هنوز منتشر نشده است و توصیه اکید به غیرفعال‌سازی موقت افزونه یا استفاده از فایروال وردپرس برای جلوگیری از سوءاستفاده است.
نسخه‌های تحت تأثیر
<= 1.8.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته squeeze را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.