→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-18385 · wp-user-avatar
اجرای کدهای دلخواه (Code Execution) در افزونه Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress
افزونه ProfilePress وردپرس تا نسخه 4.16.19 به دلیل عدم اعتبارسنجی صحیح مقادیر پیش از اجرای تابع do_shortcode، در برابر اجرای خودسرانه شورت‌کد آسیب‌پذیر است. مهاجمان احرازهویت‌شده با سطح دسترسی مشترک (Subscriber) و بالاتر می‌توانند کدهای شورت‌کد دلخواه را اجرا کنند. برای رفع این آسیب‌پذیری، اکیداً توصیه می‌شود افزونه را بلافاصله به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 4.16.19
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-user-avatar را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.