→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-89270 · popup-builder
نقص در بررسی سطح دسترسی (Missing Authorization) در افزونه Popup Builder – Create highly converting, mobile friendly marketing popups.
افزونه Popup Builder در نسخه‌های ۴.۴.۵ و پایین‌تر، پیش از انجام برخی عملیات مجوز کاربر را به‌درستی بررسی نمی‌کند و به همین دلیل مهاجمان احراز هویت‌نشده می‌توانند همه پاپ‌آپ‌های منتشرشده سایت را به زباله‌دان منتقل کنند. یک نقص منطقی دیگر این اثر را تشدید می‌کند و باعث می‌شود عملیات حذف هم‌زمان روی تمام پاپ‌آپ‌های سایت اعمال شود و محتوای بازاریابی سایت از دسترس خارج گردد. از آنجا که وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 4.4.5
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته popup-builder را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://www.wordfence.com/threat-intel/vulnerabilities/id/13af3a6e-d3ef-41f0-9424-fe2c9b17c8bb?source=api-prod ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/13af3a6e-d3ef-41f0-9424-fe2c9b17c8bb ↗
- https://plugins.trac.wordpress.org/browser/popup-builder/tags/4.4.5/com/classes/Filters.php#L43 ↗
- https://plugins.trac.wordpress.org/browser/popup-builder/tags/4.4.5/com/classes/Filters.php#L435 ↗
- https://plugins.trac.wordpress.org/browser/popup-builder/tags/4.4.5/com/classes/popups/SGPopup.php#L1826 ↗
- https://plugins.trac.wordpress.org/browser/popup-builder/tags/4.4.5/com/classes/popups/SGPopup.php#L1830 ↗
- https://plugins.trac.wordpress.org/browser/popup-builder/tags/4.4.5/com/classes/popups/SGPopup.php#L257 ↗
- https://plugins.trac.wordpress.org/changeset/3755160/popup-builder/trunk/com/classes/popups/SGPopup.php ↗
- https://wordpress.org/plugins/popup-builder/ ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/13af3a6e-d3ef-41f0-9424-fe2c9b17c8bb?source=cve ↗