→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-90966 · essential-real-estate
فعال‌سازی غیرمجاز بسته‌های پولی در افزونه Essential Real Estate
افزونه Essential Real Estate وردپرس در یکی از عملکردهای AJAX خود بررسی نمی‌کند که آیا بسته انتخابی واقعاً رایگان است یا کاربر مجاز به دریافت آن می‌باشد. این آسیب‌پذیری به یک مشتری ثبت‌نام‌شده اجازه می‌دهد تا بدون پرداخت هزینه، یک بسته پولی را فعال کرده و فاکتور پرداخت آن را با قیمت کامل در سیستم ثبت کند. از آنجایی که پچ رسمی هنوز برای این آسیب‌پذیری منتشر نشده است، اکیداً توصیه می‌شود تا زمان ارائه به‌روزرسانی، افزونه را به‌طور موقت غیرفعال کرده یا از قوانین حفاظتی فایروال استفاده کنید.
نسخه‌های تحت تأثیر
<= 5.3.5
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته essential-real-estate را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.