→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-94676 · tainacan
تزریق شیء PHP (Object Injection) در افزونه Tainacan
افزونه Tainacan برای وردپرس در همه نسخه‌های تا ۱.۳.۰ (شامل خود این نسخه) به‌دلیل deserialization ورودی غیرقابل‌اعتماد در برابر تزریق شیء PHP آسیب‌پذیر است. مهاجم احراز هویت‌شده با دسترسی در سطح نقش سفارشی یا بالاتر می‌تواند یک شیء PHP تزریق کند؛ زنجیره POP شناخته‌شده‌ای در خود این افزونه وجود ندارد، اما اگر چنین زنجیره‌ای از طریق افزونه یا قالب دیگری روی سامانه هدف موجود باشد، ممکن است حذف فایل‌های دلخواه، دستیابی به داده‌های حساس یا اجرای کد ممکن شود. با توجه به انتشار وصله امنیتی، افزونه را فوراً به نسخه‌ای جدیدتر از ۱.۳.۰ به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 1.3.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته tainacan را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.