→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-83628 · theme-my-login

عدم رعایت سیاست ثبت‌نام در افزونه Theme My Login (CVE-2026-83628)

در افزونه Theme My Login نسخه‌های ۷.۱.۱۵ و پایین‌تر، تابع tml_ms_signup_handler() در نصب‌های چندسایتی سیاست ثبت‌نام شبکه active_signup را برای شاخه gimmeanotherblog اعمال نمی‌کند و تنها با is_user_logged_in() بررسی می‌کند. مهاجمان با سطح دسترسی Subscriber و بالاتر می‌توانند با ارسال مستقیم درخواست POST به مسیر signup با پارامتر stage=gimmeanotherblog، حتی در صورت تنظیم سیاست ثبت‌نام به none یا user، به wpmu_create_blog() دسترسی پیدا کنند. این آسیب‌پذیری می‌تواند منجر به ایجاد وبلاگ‌های غیرمجاز توسط کاربران عادی شود و توصیه فوری به به‌روزرسانی فوری به نسخه ۷.۱.۱۶ یا بالاتر است.