→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-118077 · sastra-essential-addons-for-elementor

تزریق اشیاء PHP (Object Injection) در افزونه Spexo Addons for Elementor – Elementor Widgets, Mega Menu, Popup Builder, Template Kits and Starter Templates for Elementor

افزونه Spexo Addons for Elementor (sastra-essential-addons-for-elementor) در همه نسخه‌های تا ۱.۲.۳ به‌دلیل سریال‌زدایی (deserialization) ورودی غیرقابل‌اعتماد، در برابر تزریق شیء PHP آسیب‌پذیر است. مهاجم احرازهویت‌شده با سطح دسترسی نویسنده (Author) یا بالاتر می‌تواند یک شیء PHP تزریق کند؛ زنجیره POP شناخته‌شده‌ای در خود این افزونه گزارش نشده، اما اگر از طریق افزونه یا قالب دیگری روی سایت وجود داشته باشد، ممکن است به حذف فایل‌های دلخواه، دستیابی به داده‌های حساس یا اجرای کد منجر شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا از فایروال وب استفاده کنید.