→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-113673 · geodirectory
اجرای کد از راه دور (RCE) در افزونه GeoDirectory
افزونه GeoDirectory در نسخه‌های ۲.۸.۱۹۴ و پایین‌تر، متن تعریف‌شده توسط مدیر را پیش از نوشتن در فایل PHP تولیدشده به‌درستی escape نمی‌کند. در نتیجه کاربری با دسترسی بالا، مانند مدیر یک زیردامنه در شبکه چندسایته که در حالت عادی نمی‌تواند کد اجرا کند، می‌تواند به اجرای کد از راه دور برسد؛ کدی که هر بازدیدکننده احراز هویت‌نشده نیز قادر به فعال‌سازی آن است. وصله رسمی هنوز منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید و در صورت امکان از فایروال وب (WAF) استفاده کنید.
نسخه‌های تحت تأثیر
<= 2.8.194
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته geodirectory را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.