→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-15667 · wp-event-solution
شامل‌سازی فایل محلی (LFI) در افزونه Eventin
افزونه Eventin تا نسخه ۴.۱.۲۲ از طریق پارامتر event_layout در برابر آسیب‌پذیری شامل‌سازی فایل محلی آسیب‌پذیر است. مهاجمان احراز هویت‌شده با سطح دسترسی Contributor و بالاتر می‌توانند فایل‌های PHP دلخواه را روی سرور شامل و اجرا کنند که منجر به دور زدن کنترل‌های دسترسی، افشای اطلاعات حساس یا اجرای کد می‌شود. با توجه به اختصاص پیش‌فرض قابلیت etn_manage_event به کاربران Contributor، به‌روزرسانی فوری افزونه ضروری است.
نسخه‌های تحت تأثیر
<= 4.1.22
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-event-solution را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://www.wordfence.com/threat-intel/vulnerabilities/id/c3001ec4-a1d8-43d7-8e0c-1fe2e4e7f314?source=api-prod ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/c3001ec4-a1d8-43d7-8e0c-1fe2e4e7f314 ↗
- https://plugins.trac.wordpress.org/browser/wp-event-solution/tags/4.1.17/base/post-model.php#L202 ↗
- https://plugins.trac.wordpress.org/browser/wp-event-solution/tags/4.1.17/core/AccessControl/Permission.php#L298 ↗
- https://plugins.trac.wordpress.org/browser/wp-event-solution/tags/4.1.17/core/event/Api/EventController.php#L2165 ↗
- https://plugins.trac.wordpress.org/browser/wp-event-solution/tags/4.1.17/core/event/Api/EventController.php#L814 ↗
- https://plugins.trac.wordpress.org/browser/wp-event-solution/tags/4.1.17/core/event/template-functions.php#L480 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3668637%40wp-event-solution&new=3668637%40wp-event-solution ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/c3001ec4-a1d8-43d7-8e0c-1fe2e4e7f314?source=cve ↗