→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-112860 · participants-database
تزریق کدهای SQL (SQLi) در افزونه Participants Database
افزونه Participants Database برای وردپرس در تمام نسخه‌های تا و شامل ۲.۷.۸.۵ آسیب‌پذیر به تزریق کدهای SQL است. این آسیب‌پذیری به دلیل عدم فرار کافی از پارامترهای وارد شده توسط کاربر و عدم آماده‌سازی کافی در کوئری SQL موجود رخ می‌دهد و امکان اضافه کردن کوئری‌های SQL اضافی توسط مهاجمان غیرمجاز بدون احراز هویت و استخراج اطلاعات حساس از پایگاه داده را فراهم می‌کند. پچ رسمی هنوز منتشر نشده است؛ بنابراین اکیداً توصیه به غیرفعال‌سازی موقت افزونه یا استفاده از فایروال وب برای جلوگیری از حملات می‌شود.
نسخه‌های تحت تأثیر
<= 2.7.8.5
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته participants-database را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.