→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-17582 · slider-hero
تزریق کدهای SQL (SQLi) در افزونه Slider Hero with Video Background, Animation
داده‌های اسلایدها در افزونه Slider Hero با استفاده از $wpdb->update() و placeholders امن ذخیره می‌شوند، اما تابع qcld_sliderhero_duplicate() مقادیر خام را مستقیماً به دستور INSERT VALUES ترکیب می‌کند و بدون هیچ مکانیسم فرار اجرا می‌نماید. این آسیب‌پذیری اجازه می‌دهد مهاجمان با دسترسی ادمین سطح بالا، با فعال‌سازی task 'heroduplicateslider'، داده‌ها را دستکاری کنند. با توجه به وضعیت وصله امنیتی، به‌روزرسانی فوری به نسخه امن توصیه می‌شود.
نسخه‌های تحت تأثیر
<= 9.1.7
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته slider-hero را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.