→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-110691 · wporlogin
نقص کنترل دسترسی و عدم اعتبارسنجی Nonce در افزونه WPOrLogin وردپرس
افزونه WPOrLogin در نسخه‌های ۳.۱.۰ و پایین‌تر، پیش از به‌روزرسانی تنظیمات آدرس ورود مخفی، بررسی سطح دسترسی (capability) و اعتبارسنجی nonce انجام نمی‌دهد. به همین دلیل مهاجم احراز هویت‌نشده می‌تواند اسلاگ‌های ورود، ثبت‌نام و بازیابی رمز عبور را تغییر دهد و مدیر را از رابط ورود قفل کند. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دسترسی به تنظیمات مربوط را با فایروال وب (WAF) محدود نمایید.
نسخه‌های تحت تأثیر
<= 3.1.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wporlogin را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.