→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-118045 · ever-accounting
حذف غیرمجاز فایل‌ها (Arbitrary File Deletion) در افزونه Ever Accounting
افزونه Ever Accounting در نسخه‌های ۲.۳.۳ و پیش از آن، مسیر فایل داده‌شده به روال درون‌ریزی CSV را به یک پوشه مجاز محدود نمی‌کند. به همین دلیل کاربری با نقش سفارشی Accounting Manager، که دسترسی مدیر کل ندارد، می‌تواند فایل‌های دلخواه روی سرور از جمله wp-config.php را حذف کند و کل سایت را از دسترس خارج سازد. وصله رسمی هنوز منتشر نشده است؛ تا زمان ارائه به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی به این قابلیت را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 2.3.3
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته ever-accounting را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.