→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-18057 · events-manager
تزریق کدهای SQL (SQLi) در افزونه Events Manager – Calendar, Bookings, Tickets, Appointments and more!
افزونه Events Manager برای وردپرس در نسخه‌های تا 7.4.0 به دلیل عدم پاکسازی کافی پارامترهای ورودی کاربر و عدم استفاده از آماده‌سازی مناسب در پرس‌وجوهای SQL، در معرض آسیب‌پذیری تزریق کدهای SQL (SQL Injection) قرار دارد. این مسئله به مهاجمان احراز هویت شده با سطح دسترسی مشترک (Subscriber) و بالاتر اجازه می‌دهد تا پرس‌وجوهای SQL مخرب را به درخواست‌های موجود اضافه کرده و اطلاعات حساس را از پایگاه داده استخراج کنند. توصیه می‌شود برای رفع این مشکل، افزونه خود را فورا به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 7.4.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته events-manager را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.