→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-16586 · contest-gallery
تزریق کدهای SQL (SQL Injection) در افزونه Contest Gallery
افزونه Contest Gallery در نسخه‌های تا ۳۰.۰.۷ آسیب‌پذیر به تزریق کدهای SQL از نوع دوم‌مرحله‌ای از طریق پارامتر cg_multiple_files_for_post و cgRealId است. مهاجمان با دسترسی نویسنده و بالاتر به دلیل عدم فرار کافی از پارامترهای واردشده توسط کاربر و عدم آماده‌سازی مناسب کوئری SQL قادر به تزریق کوئری‌های اضافی SQL هستند که می‌تواند اطلاعات حساس پایگاه داده را استخراج کند. این آسیب‌پذیری می‌تواند منجر به افشای داده‌ها، هک پایگاه داده و اختلال در عملکرد سایت شود. توصیه امنیتی: به دلیل وجود پچ امنیتی، فوراً افزونه را به نسخه به‌روزرسانی‌شده آپدیت کنید.
نسخه‌های تحت تأثیر
<= 30.0.7
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته contest-gallery را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.