→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-111974 · givewp
دور زدن محدودیت حداقل مبلغ کمک مالی با دستکاری واحد پول در افزونه GiveWP
افزونه GiveWP در نسخه‌های ۴.۱۹.۰.۱ و قبل از آن، واحد پول کمک مالی را به واحد پذیرفته‌شده توسط سایت یا فرم محدود نمی‌کند و حدود مبلغ را به‌صورت اعداد خام مقایسه می‌کند. در نتیجه کاربران احراز هویت‌نشده می‌توانند با انتخاب واحد پولی متفاوت، کمک‌هایی کمتر از حداقل یا مبلغ ثابت تنظیم‌شده در فرم ثبت کنند و منطق قیمت‌گذاری را دور بزنند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا با فایروال وب (WAF) درخواست‌های مشکوک را محدود نمایید.
نسخه‌های تحت تأثیر
<= 4.19.0.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته givewp را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.