→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-19256 · all-in-one-login
آسیب‌پذیری دور زدن احراز هویت و حملات نیروی خام (Brute Force) در افزونه وردپرس All In One Login
افزونه All In One Login در نسخه‌های ۲.۵.۰ و قبل از آن، محدودیت کافی روی تعداد دفعات تلاش برای ورود با کد عددی کوتاه‌مدت اعمال نمی‌کند و تلاش‌های ناموفق را در سیستم محافظت در برابر نیروی خام خود ثبت نمی‌کند. این نقص به مهاجمان احراز هویت‌نشده اجازه می‌دهد تا با انجام حملات Brute Force روی کد ورود، کنترل هر کاربری از جمله مدیران سیستم را به دست بگیرند. از آنجایی که تاکنون هیچ پچ رسمی برای این آسیب‌پذیری منتشر نشده است، اکیداً توصیه می‌شود تا زمان ارائه به‌روزرسانی امنیتی، این افزونه را به‌طور موقت غیرفعال کرده و از راه‌حل‌های جایگزین یا فایروال استفاده کنید.
نسخه‌های تحت تأثیر
<= 2.5.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته all-in-one-login را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.