→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-115230 · whizz
بازنشانی غیرمجاز رمز عبور و تصاحب حساب کاربری در افزونه WHIZZ وردپرس
افزونه WHIZZ وردپرس تا نسخه ۱.۱.۸ پیش از تغییر رمز عبور، کلید بازنشانی را اعتبارسنجی نمی‌کند و تنها به یک نانس متکی است که برای بازدیدکنندگان احراز هویت‌نشده نیز قابل مشاهده است. مهاجم بدون ورود می‌تواند برای هر کاربر، از جمله مدیران، رمز دلخواه تنظیم کند و حساب را به‌طور کامل تصاحب نماید. وصله رسمی هنوز منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا دسترسی به قابلیت بازنشانی رمز را با دیوار آتش وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 1.1.8
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته whizz را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.