→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-27380 · car-rental-manager
تزریق اشیاء PHP (Object Injection) در افزونه Car Rental Manager – Online Vehicle Booking System
افزونه Car Rental Manager برای وردپرس در نسخه‌های تا و از جمله ۱.۳.۹ آسیب‌پذیر به تزریق شیء PHP از طریق deserialization ورودی‌های غیرقابل اعتماد است. مهاجمان احراز هویت‌شده با دسترسی سطح ویرایشگر و بالاتر می‌توانند شیء PHP تزریق کنند. بدون زنجیره POP شناخته‌شده در نرم‌افزار آسیب‌پذیر، اما اگر POP chain از طریق افزونه یا تم اضافی وجود داشته باشد، مهاجم می‌تواند فایل‌های دلخواه را حذف کند، داده‌های حساس را بازیابی کند یا کد اجرا نماید. توصیه امنیتی: به دلیل وجود پچ امنیتی، فوراً افزونه را به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 1.3.9
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته car-rental-manager را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.