→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-88799 · mdjm-event-management-and-mobile-events-manager
تصاحب حساب کاربری (Account Takeover) در افزونه MDJM Event Management and Mobile Events Manager
افزونه‌های MDJM Event Management و Mobile Events Manager تا نسخه ۱.۷.۸.۷ هنگام به‌روزرسانی پروفایل مشتری، مالکیت یا سطح دسترسی شناسه ارسال‌شده را بررسی نمی‌کنند. به همین دلیل هر کاربر احراز هویت‌شده، حتی با نقش مشترک (Subscriber)، می‌تواند گذرواژه و نشانی ایمیل هر حساب دیگر از جمله مدیر را تغییر دهد و کنترل کامل آن حساب را به دست بگیرد. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار اصلاحیه، افزونه را موقتاً غیرفعال کنید یا دسترسی به قابلیت به‌روزرسانی پروفایل را با دیوار آتش وب (WAF) محدود نمایید.
نسخه‌های تحت تأثیر
<= 1.7.8.7
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته mdjm-event-management-and-mobile-events-manager را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.