→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-87916 · wpbot
افشای اطلاعات شخصی بازدیدکنندگان چت بدون احراز هویت (Missing Authorization) در افزونه WPBot
افزونه WPBot وردپرس در نسخه‌های قبل از ۸.۶.۰ هیچ بررسی قابلیت (capability) یا نانس (nonce) روی اکشن AJAX لیست‌کننده جلسات چت ذخیره‌شده انجام نمی‌دهد. مهاجمان احراز هویت‌نشده می‌توانند با درخواست محدوده تاریخ گسترده، نام، ایمیل و شماره تلفن تمام بازدیدکنندگان چت را بازیابی کنند که منجر به افشای اطلاعات حساس و نقض حریم خصوصی کاربران وب‌سایت می‌شود. با توجه به وجود وصله امنیتی، توصیه می‌شود فوراً افزونه را به نسخه ۸.۶.۰ یا بالاتر به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 8.6.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wpbot را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.