→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-113472 · depicter
اجرای کدهای دلخواه (Code Execution) در افزونه Depicter
افزونه Depicter — Popup & Slider Builder در نسخه‌های ۴.۸.۲ و پایین‌تر، فایل‌های بارگذاری‌شده در نقطه پایانی رسانه ویرایشگر را به‌درستی اعتبارسنجی نمی‌کند و تنها به نوع MIME اعلام‌شده از سمت کاربر و مسدودسازی حساس به حروف پسوند php تکیه دارد. کاربری با نقش Editor یا بالاتر می‌تواند فایل‌هایی با پسوندهای فعال دیگر را در پوشه عمومی uploads قرار دهد که به اجرای اسکریپت ذخیره‌شده در مبدأ سایت و، بسته به نگاشت هندلر سرور، به اجرای کد منجر می‌شود. وصله رسمی هنوز منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا بارگذاری فایل را با فایروال وب محدود نمایید و نسخه آسیب‌پذیر را به‌عنوان راه‌حل نصب یا نگه ندارید.
نسخه‌های تحت تأثیر
<= 4.8.2
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته depicter را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.