→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-115806 · prime-mover
تزریق اشیاء PHP (Object Injection) در افزونه Prime Mover
افزونه Prime Mover در وردپرس از طریق پردازش ورودی‌های نامعتبر در بخش جستجو و جایگزینی مهاجرت، نسبت به تزریق شیء PHP آسیب‌پذیر است. مهاجم بدون نیاز به احراز هویت می‌تواند اشیاء مخرب را در دیدگاه‌های وردپرس ثبت کند که با انجام عملیات پشتیبان‌گیری یا بازیابی توسط مدیر سایت، منجر به اجرای کد از راه دور می‌گردد. با توجه به عدم انتشار وصله رسمی، اکیداً توصیه می‌شود موقتاً این افزونه را غیرفعال کرده یا از قوانین فایروال جهت مسدودسازی درخواست‌ها استفاده کنید.
نسخه‌های تحت تأثیر
<= 2.2.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته prime-mover را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/prime-mover/tags/2.2.1/utilities/PrimeMoverSearchReplace.php#L1281 ↗
- https://plugins.trac.wordpress.org/browser/prime-mover/tags/2.2.1/utilities/PrimeMoverSearchReplace.php#L391 ↗
- https://plugins.trac.wordpress.org/browser/prime-mover/tags/2.2.1/utilities/PrimeMoverSearchReplace.php#L422 ↗
- https://plugins.trac.wordpress.org/browser/prime-mover/tags/2.2.1/utilities/PrimeMoverSearchReplace.php#L899 ↗
- https://plugins.trac.wordpress.org/browser/prime-mover/tags/2.2.1/vendor/freemius/includes/managers/class-fs-clone-manager.php#L1636 ↗
- https://plugins.trac.wordpress.org/browser/prime-mover/tags/2.2.1/vendor/freemius/includes/managers/class-fs-option-manager.php#L414 ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/ab6ebd66-c7a4-402e-b51e-3f1f3183bd97?source=cve ↗