→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-66570 · wp-file-upload
آپلود فایل غیرمجاز (Arbitrary File Upload) در افزونه Nickboss WordPress File Upload wp-file-upload
در افزونه WordPress File Upload (wp-file-upload) تا نسخه ۵.۲.۱، ورودی‌ها هنگام تولید صفحه به‌درستی خنثی نمی‌شوند و مهاجم می‌تواند اسکریپت مخرب را در سایت ذخیره کند. با مشاهده صفحه آلوده، این اسکریپت در مرورگر کاربران یا مدیران اجرا می‌شود و می‌تواند به سرقت نشست، تغییر ظاهر صفحات یا انجام اقدامات ناخواسته در بستر سایت منجر شود. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا با فایروال وب (WAF) درخواست‌های مشکوک را محدود نمایید.
نسخه‌های تحت تأثیر
<= 5.2.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-file-upload را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.