→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-113616 · logixfast-auth
بازنشانی ناامن رمز عبور و تصاحب حساب در افزونه LogixFast Auth
افزونه LogixFast Auth در نسخه‌های ۱.۰.۴ و پایین‌تر، کد یک‌بارمصرف بازنشانی رمز عبور را به ایمیل متعلق به همان حساب نمی‌فرستد و آن را به نشانی ایمیلی ارسال می‌کند که در درخواست آمده است. در نتیجه مهاجم بدون احراز هویت می‌تواند رمز عبور هر کاربر، از جمله مدیر سایت، را تغییر دهد و حساب را تصاحب کند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا با فایروال وب دسترسی به قابلیت بازنشانی رمز را محدود نمایید.
نسخه‌های تحت تأثیر
<= 1.0.4
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته logixfast-auth را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.