→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-86827 · backwpup
اجرای غیرمجاز پشتیبان‌گیری بدون احراز هویت در افزونه BackWPup
افزونه BackWPup وردپرس در نسخه‌های پیش از ۵.۷.۷ بررسی نمی‌کند که درخواست ارسال‌شده به هندلر اجرای پشتیبان مبتنی بر کرون واقعاً از زمان‌بند داخلی وردپرس آمده باشد. در نتیجه مهاجم بدون احراز هویت می‌تواند هر وظیفه پشتیبان موجود را فوراً و مستقل از زمان‌بندی یا نوع محرک تنظیم‌شده اجرا کند؛ این کار پشتیبان خارج از برنامه می‌سازد و می‌تواند مصرف منابع سرور را بالا ببرد. چون وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه ۵.۷.۷ یا جدیدتر به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 5.7.7
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته backwpup را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.