→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-17576 · iwp-client
تزریق کدهای SQL (SQL Injection) در افزونه InfiniteWP Client
افزونه InfiniteWP Client وردپرس تا نسخه ۱.۱۳.۹ از طریق اکشن get_comments به تزریق SQL آسیب‌پذیر است زیرا نام کلیدهای آرایه در بدنه درخواست JSON بدون فرارسازی کافی مستقیماً در کلاز IN یک کوئری SQL بدون prepare استفاده می‌شود. مهاجم با ارسال درخواست JSON مخرب می‌تواند دستورات SQL دلخواه را اجرا کرده و اطلاعات پایگاه داده را استخراج کند که محرمانگی داده‌های وب‌سایت را به خطر می‌اندازد. با توجه به وجود وصله، به‌روزرسانی فوری افزونه به نسخه امن توصیه می‌شود.
نسخه‌های تحت تأثیر
<= 1.13.9
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته iwp-client را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/iwp-client/tags/1.13.6/addons/comments/comments.class.php#L57 ↗
- https://plugins.trac.wordpress.org/browser/iwp-client/tags/1.13.6/addons/comments/comments.class.php#L71 ↗
- https://plugins.trac.wordpress.org/browser/iwp-client/tags/1.13.6/addons/comments/comments.class.php#L80 ↗
- https://plugins.trac.wordpress.org/browser/iwp-client/tags/1.13.6/init.php#L131 ↗
- https://plugins.trac.wordpress.org/browser/iwp-client/tags/1.13.6/init.php#L1651 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3655042%40iwp-client&new=3655042%40iwp-client ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/05c50442-570b-45cf-816a-c7a5b712ba21?source=cve ↗