→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-93904 · social-web-suite
تزریق کدهای SQL (SQLi) در افزونه Social Web Suite – Social Media Auto Post, Social Media Auto Publish
افزونه Social Web Suite در نسخه‌های ۴.۱.۱۲ و پایین‌تر به‌دلیل فراردهی و آماده‌سازی ناکافی پارامتر exclude_posts در برابر تزریق کدهای SQL آسیب‌پذیر است. مهاجمان احرازهویت‌نشده می‌توانند پرس‌وجوهای اضافی را به کوئری موجود الحاق کنند و اطلاعات حساس پایگاه‌داده را استخراج نمایند؛ در نصب‌های تازه‌فعال‌شده که مدیر هنوز صفحه تنظیمات را باز نکرده، کنترل احراز هویت HMAC نیز به‌دلیل خالی ماندن secret_key قابل دور زدن است. وصله رسمی تاکنون منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا از فایروال برنامه‌های وب برای کاهش خطر استفاده کنید.
نسخه‌های تحت تأثیر
<= 4.1.12
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته social-web-suite را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://www.wordfence.com/threat-intel/vulnerabilities/id/7d338b15-ec26-4239-b90a-1ea8d5ba5ce0?source=api-prod ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/7d338b15-ec26-4239-b90a-1ea8d5ba5ce0 ↗
- https://plugins.trac.wordpress.org/browser/social-web-suite/trunk/includes/admin/class-socialwebsuite-admin.php#L432 ↗
- https://plugins.trac.wordpress.org/browser/social-web-suite/trunk/includes/admin/class-socialwebsuite-admin.php#L479 ↗
- https://plugins.trac.wordpress.org/browser/social-web-suite/trunk/includes/admin/class-socialwebsuite-admin.php#L58 ↗
- https://plugins.trac.wordpress.org/browser/social-web-suite/trunk/includes/class-socialwebsuite.php#L831 ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/7d338b15-ec26-4239-b90a-1ea8d5ba5ce0?source=cve ↗