→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-15946 · metasync
دور زدن مجوز دسترسی (Authorization Bypass) در افزونه Search Atlas SEO
افزونه Search Atlas SEO در تمام نسخه‌های تا ۲.۶.۲۳ به دلیل عدم بررسی صحیح مجوز کاربر برای انجام اقدامات، آسیب‌پذیر به دور زدن مجوز است. مهاجمان احراز هویت‌شده با سطح دسترسی مشترک (subscriber) و بالاتر می‌توانند رمز عبور تنظیمات whitelabel را به مقدار دلخواه خود بازنویسی کرده و تب‌های محافظت‌شده تنظیمات ادمین از جمله whitelabel، عمومی و پیکربندی پیشرفته را آنلاک کنند که منجر به دستکاری تنظیمات حیاتی سایت می‌شود. با توجه به وجود پچ امنیتی، به‌روزرسانی فوری افزونه به نسخه امن اکیداً توصیه می‌شود.
نسخه‌های تحت تأثیر
<= 2.6.23
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته metasync را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/metasync/tags/2.6.16/admin/class-metasync-admin.php#L215 ↗
- https://plugins.trac.wordpress.org/browser/metasync/tags/2.6.16/includes/class-metasync-connect-manager.php#L1049 ↗
- https://plugins.trac.wordpress.org/browser/metasync/tags/2.6.16/includes/class-metasync-settings-registration.php#L96 ↗
- https://plugins.trac.wordpress.org/browser/metasync/tags/2.6.17/admin/class-metasync-admin.php#L215 ↗
- https://plugins.trac.wordpress.org/browser/metasync/tags/2.6.17/includes/class-metasync-connect-manager.php#L1049 ↗
- https://plugins.trac.wordpress.org/browser/metasync/tags/2.6.17/includes/class-metasync-settings-registration.php#L96 ↗
- https://plugins.trac.wordpress.org/changeset/3676919 ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/56d839b0-b29d-4299-af77-1ce97a5925f6?source=cve ↗