→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-113387 · ortto
بازنویسی پیکربندی بدون احراز هویت و تزریق اسکریپت دلخواه در افزونه Ortto وردپرس
افزونه Ortto در نسخه‌های 1.0.25 و قبل از آن درخواست‌های به‌روزرسانی پیکربندی را احراز هویت نمی‌کند و تنها به رازی تکیه دارد که در HTML عمومی صفحه افشا شده است. مهاجم بدون نیاز به ورود می‌تواند پیکربندی افزونه را بازنویسی کند و اسکریپت‌های دلخواه را از طریق وب‌سایت ارائه دهد؛ این موضوع بازدیدکنندگان را در معرض اجرای اسکریپت مخرب، سرقت نشست و دستکاری محتوا قرار می‌دهد. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دسترسی به به‌روزرسانی پیکربندی را با دیوار آتش وب (WAF) محدود کنید.
نسخه‌های تحت تأثیر
<= 1.0.25
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته ortto را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.