→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-89093 · bp-better-messages

جعل هویت ربات هوش مصنوعی از طریق جعل هدر X-Real-IP در افزونه Better Messages

افزونه Better Messages تا نسخه 2.15.33 به دلیل شناسایی حساب‌های ربات هوش مصنوعی داخلی از طریق بررسی پیشوند 'ai-chat-bot-' روی آدرس IP ذخیره‌شده مهمان که مستقیماً از هدر X-Real-IP کنترل‌شده توسط کلاینت پر می‌شود، آسیب‌پذیر است. مهاجم بدون احراز هویت می‌تواند با جعل این هدر هویت ربات دارای امتیاز را جعل کرده و محدودیت‌های نقش، بررسی وضعیت پیش‌نویس و فیلترهای عضویت در اتاق‌های چت را دور بزند که منجر به دسترسی غیرمجاز و افشای اطلاعات حساس می‌شود. با توجه به وجود وصله امنیتی، به‌روزرسانی فوری افزونه به نسخه امن ضروری است.