→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-15267 · taskbuilder
تزریق کدهای SQL (SQLi) در افزونه Taskbuilder – Project Management & Task Management Tool With Kanban Board
افزونه Taskbuilder برای وردپرس در نسخه‌های تا ۵.۰.۹ به دلیل عدم escaping کافی پارامتر 'wppm_proj_filter' و استفاده نادرست از esc_sql() همراه با interpolation در $wpdb->prepare() آسیب‌پذیر به تزریق کدهای SQL است. مهاجم با دسترسی به پنل مدیریت افزونه می‌تواند این پارامتر را تزریق کند و کد SQL دلخواه اجرا نماید. این آسیب‌پذیری می‌تواند منجر به دسترسی غیرمجاز به پایگاه داده، استخراج اطلاعات حساس و دستکاری داده‌ها شود. توصیه امنیتی: فوراً افزونه را به نسخه امن‌تر به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 5.0.9
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته taskbuilder را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.