→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-115262 · duplicator
تزریق کدهای SQL (SQLi) در افزونه Duplicator
افزونه Duplicator و Duplicator Pro در نسخه‌های ۵.۱.۰ و پایین‌تر، هنگام بازیابی نسخه پشتیبان، بازنویسی charset و collation را فقط به دستورات ساختار پایگاه‌داده محدود نمی‌کند. در نتیجه کاربری با نقش Subscriber می‌تواند مقداری را در پروفایل خود ذخیره کند که از محدوده رشته خارج شود و هنگام بازیابی پشتیبان توسط مدیر روی سروری که یکی از charset یا collationهای مبدأ را ندارد، کد SQL را به دستور INSERT تزریق کند. این نقص می‌تواند به اجرای دستورات SQL غیرمجاز و دستکاری یا افشای داده‌های سایت منجر شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا از فایروال وب استفاده کنید.
نسخه‌های تحت تأثیر
<= 5.1.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته duplicator را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.