→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-121509 · هسته و افزونه‌های وردپرس
افشای ناامن اطلاعات (Info Disclosure) در افزونه وردپرس
نقصی در افزونه Headless CMS تا نسخه ۲.۰.۴، تابع get_required_post_data در مسیر REST API با نشانی /wp-json/rae/v1/post را تحت تأثیر قرار می‌دهد. دستکاری آرگومان‌های post_id یا post_slug می‌تواند از راه دور و بدون نیاز به دسترسی ویژه به افشای اطلاعات منجر شود و کد بهره‌برداری آن به‌صورت عمومی منتشر شده است. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا با فایروال وب (WAF) دسترسی به این مسیر را محدود نمایید.
نسخه‌های تحت تأثیر
تمام نسخه‌های قبل از وصله
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته هسته و افزونه‌های وردپرس را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://app.notion.com/p/Unauthenticated-disclosure-of-draft-private-and-future-post-contentimranhsayed-headless-cms-2-0-4-3f384f1ea6a48057bb67ed0dd89f4157?source=copy_link ↗
- https://vuldb.com/cve/CVE-2026-121509 ↗
- https://vuldb.com/submit/1019400 ↗
- https://vuldb.com/vuln/430285 ↗
- https://vuldb.com/vuln/430285/cti ↗