→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-113489 · geodirectory
نقص کنترل دسترسی و دستکاری تصاویر دیگران (Broken Access Control) در افزونه GeoDirectory وردپرس
افزونه GeoDirectory در نسخه‌های ۲.۸.۱۹۴ و پایین‌تر، هنگام ذخیره فهرست بررسی نمی‌کند که پیوست اشاره‌شده واقعاً متعلق به همان فهرست است. در نتیجه کاربری با سطح دسترسی Subscriber یا بالاتر می‌تواند عنوان، توضیح، وضعیت نظارت و پرچم ویژه تصاویر متعلق به فهرست‌های کاربران دیگر را تغییر دهد و تصویر کاربر دیگری را به‌عنوان تصویر ویژه خود ثبت کند. وصله رسمی تاکنون منتشر نشده است؛ تا زمان ارائه به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی به قابلیت‌های مرتبط را با فایروال برنامه‌های وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 2.8.194
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته geodirectory را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.