→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-96904 · awp-classifieds
دور زدن بررسی مجوز و افشای ایمیل تماس خصوصی در افزونه AWP Classifieds
افزونه AWP Classifieds در نسخه‌های ۴٫۴٫۹ و پایین‌تر، هنگام ارجاع به یک تراکنش پرداخت، مجاز بودن درخواست برای مشاهده آگهی را بررسی نمی‌کند. به همین دلیل مهاجمان احراز هویت‌نشده می‌توانند کنترل مالکیت در صفحه ثبت آگهی را دور بزنند و ایمیل تماس خصوصی ذخیره‌شده روی هر آگهی را بخوانند. از آنجا که وصله رسمی تاکنون منتشر نشده است، توصیه می‌شود افزونه به‌طور موقت غیرفعال شود یا دسترسی به این قابلیت با فایروال وب (WAF) محدود گردد.
نسخه‌های تحت تأثیر
<= 4.4.9
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته awp-classifieds را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.