→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-115259 · photo-engine
نقص بررسی مجوز (Missing Authorization) در افزونه Photo Engine وردپرس
افزونه Photo Engine (Media Organizer & Lightroom) در نسخه‌های تا ۶.۵.۸ هنگام به‌روزرسانی داده‌های نوشته از طریق یکی از مسیرهای REST API، بررسی مجوز مناسب انجام نمی‌دهد. در نتیجه، مهاجم احرازهویت‌شده با سطح دسترسی نویسنده (Author) یا بالاتر می‌تواند عنوان، محتوا، خلاصه و سایر فیلدهای نوشته‌ها، برگه‌ها و پیوست‌های دلخواه، از جمله موارد متعلق به کاربران دیگر را تغییر دهد. تاکنون وصله رسمی منتشر نشده است؛ توصیه می‌شود افزونه موقتاً غیرفعال شود یا دسترسی مربوطه با دیوار آتش (فایروال) برنامه‌های وب محدود گردد.
نسخه‌های تحت تأثیر
<= 6.5.8
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته photo-engine را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.