→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-114742 · wpvr
نقص کنترل دسترسی و عدم بررسی مالکیت در افزونه WPVR وردپرس
افزونه WPVR در نسخه‌های آسیب‌پذیر (تا ۹.۰.۳) هنگام به‌روزرسانی تورهای مجازی، بررسی مالکیت در سطح شیء انجام نمی‌دهد. در نتیجه کاربری با نقش مشارکت‌کننده (Contributor) یا بالاتر می‌تواند تورهای ساخته‌شده توسط دیگران را تغییر دهد، دوباره پیکربندی کند و منتشر نماید و محتوای سایت را دستکاری کند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دسترسی به قابلیت ویرایش تور را با فایروال وب (WAF) محدود نمایید.
نسخه‌های تحت تأثیر
<= 9.0.3
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wpvr را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.