→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-112219 · download-monitor
خواندن غیرمجاز فایل‌ها در افزونه Download Monitor وردپرس (Arbitrary File Read)
افزونه Download Monitor در نسخه‌های ۵٫۳٫۵ و پیش از آن، در نصب‌های چندسایته مدیریت فهرست مسیرهای فایل‌سیستمی قابل ارائه را به‌درستی به مدیران شبکه محدود نمی‌کند. مدیر یک زیربخش که در سطح شبکه مورد اعتماد نیست می‌تواند مسیرهای دلخواه را تأیید کند تا افزونه فایل‌های قابل‌خواندن خارج از پوشه uploads، از جمله فایل‌های سایر زیربخش‌ها، را در اختیار بازدیدکنندگان احراز هویت‌نشده بگذارد؛ نصب‌های تک‌سایته تحت تأثیر نیستند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی مرتبط را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 5.3.5
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته download-monitor را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.