→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-82214 · quick-event-manager
افشای غیرمجاز محتوای پست‌های پیش‌نویس و خصوصی در افزونه Quick Event Manager
افزونه Quick Event Manager در نسخه‌های ۹.۱۹ و پایین‌تر، پیش از بازگرداندن جزئیات نوشته از طریق خروجی تقویم، وضعیت و نوع پست درخواستی را بررسی نمی‌کند. به همین دلیل کاربران احراز هویت‌نشده می‌توانند محتوای پست‌های پیش‌نویس و خصوصی را بخوانند و اطلاعات منتشرنشده وب‌سایت افشا شود. وصله رسمی تاکنون منتشر نشده است؛ تا زمان ارائه به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی به قابلیت خروجی تقویم را با فایروال برنامه‌های وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 9.19
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته quick-event-manager را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.