→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-114422 · enable-media-replace
اجرای کد از راه دور (RCE) در افزونه Enable Media Replace
افزونه Enable Media Replace در نسخه‌های ۴.۲.۳ و پایین‌تر، هنگام بازسازی فراداده ذخیره‌شده در روال جایگزینی رسانه و به‌روزرسانی پیوندها، کلاس‌های مجاز را محدود نمی‌کند. در نتیجه کاربر احراز هویت‌نشده می‌تواند یک شیء PHP تزریق کند که هنگام جایگزینی معمول رسانه توسط کاربری با دسترسی بارگذاری نمونه‌سازی می‌شود و به تزریق شیء PHP (Object Injection) و شامل‌سازی فایل محلی (LFI) فایل‌های PHP یا HTML موجود می‌انجامد؛ اگر چنین فایلی تحت تأثیر مهاجم روی سرور باشد، خطر می‌تواند تا اجرای کد از راه دور گسترش یابد. این مورد بازگشت CVE-2023-4643 است و تاکنون وصله رسمی منتشر نشده؛ افزونه را موقتاً غیرفعال کنید یا با فایروال وب دسترسی به این قابلیت را محدود نمایید.
نسخه‌های تحت تأثیر
<= 4.2.3
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته enable-media-replace را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.