→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-6295 · wp-optimizer
تزریق کدهای SQL (SQL Injection) در افزونه WP Optimizer
افزونه WP Optimizer وردپرس در تمام نسخه‌های تا و شامل ۲.۵.۰ از طریق پارامتر s به تزریق کدهای SQL آسیب‌پذیر است. این باگ به دلیل شاخه تشخیص subquery ناامن در متد Query::parse_key_compare_field رخ می‌دهد که مقدار ورودی را بدون escaping مستقیماً در کوئری جاسازی می‌کند و محافظت‌های استاندارد وردپرس را دور می‌زند. مهاجمان احراز هویت‌شده می‌توانند اطلاعات حساس پایگاه داده را استخراج کنند؛ بنابراین به‌روزرسانی فوری به نسخه وصله‌شده الزامی است.
نسخه‌های تحت تأثیر
تمام نسخه‌های قبل از وصله
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-optimizer را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/wp-optimizer/tags/2.3.8/modules/supporters/activity-log/ActivityLog_Table.class.php#L343 ↗
- https://plugins.trac.wordpress.org/browser/wp-optimizer/tags/2.3.8/vendors/wps-framework/Query.class.php#L455 ↗
- https://plugins.trac.wordpress.org/browser/wp-optimizer/trunk/modules/supporters/activity-log/ActivityLog_Table.class.php#L343 ↗
- https://plugins.trac.wordpress.org/browser/wp-optimizer/trunk/vendors/wps-framework/Query.class.php#L455 ↗
- https://plugins.trac.wordpress.org/changeset/3508033 ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/4da302ab-8a5d-481b-8b28-a798e0982893?source=cve ↗