→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-96661 · grand-media
تزریق کدهای SQL (SQL Injection) در افزونه Gmedia Photo Gallery (grand-media)
افزونه Gmedia Photo Gallery در نسخه‌های ۱.۲۵.۱ و پایین‌تر، به‌دلیل پاک‌سازی ناکافی پارامتر ورودی و آماده‌سازی ناقص کوئری موجود، در برابر تزریق SQL مبتنی بر زمان آسیب‌پذیر است. نقطه پایانی اپلیکیشن موبایل این عمل را بدون بررسی پرچم قابلیت، نانس یا هرگونه احراز هویت وردپرس اجرا می‌کند؛ بنابراین مهاجم بدون حساب یا نشست می‌تواند کوئری‌های اضافی را به کوئری‌های موجود الحاق کرده و اطلاعات حساس پایگاه داده را استخراج کند. وصله رسمی تاکنون منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا با فایروال وب درخواست‌های مشکوک را محدود نمایید و از نصب یا ادامه استفاده از نسخه آسیب‌پذیر خودداری کنید.
نسخه‌های تحت تأثیر
<= 1.25.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته grand-media را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.