→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-76010 · nextgen-gallery

اجرای کد از راه دور (RCE) در افزونه Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery

بالا plugin CVSS 8.8

افزونه Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery در نسخه‌های ۴.۴.۱ و پیش از آن، از طریق تابع render_image در برابر اجرای کد از راه دور آسیب‌پذیر است. مهاجم احرازهویت‌شده با دسترسی سطح سفارشی یا بالاتر که مالک حداقل یک گالری NextGEN باشد، از جمله مشترکی که قابلیت NextGEN Manage gallery به او داده شده، می‌تواند با سوءاستفاده از انتساب انبوه کلیدهای meta_data، نبود محدودسازی مسیر و ضعف بررسی امضا، کد را روی سرور اجرا کند. با توجه به انتشار وصله امنیتی، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.

نسخه‌های تحت تأثیر

<= 4.4.1

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته nextgen-gallery را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

اجرای کد از راه دور (RCE) در افزونه Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر