یک آسیب‌پذیری امنیتی با شناسه CVE-2026-9004 در افزونه WP-CRM System – Manage Clients and Projects شناسایی شده است که تمامی نسخه‌ها تا ورژن 3.4.6 را تحت تأثیر قرار می‌دهد.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی از نوع Sensitive Information Exposure (افشای اطلاعات حساس) است و از طریق پارامتر contact_id رخ می‌دهد. مهاجمانی که دارای دسترسی احراز هویت شده در سطح Contributor یا بالاتر باشند، می‌توانند با استفاده از تکنیک Enumeration (شمردن/پیمایش) روی پارامتر مذکور، به داده‌های حساس دسترسی پیدا کنند.
اطلاعات در معرض خطر
در صورت بهره‌برداری موفق از این آسیب‌پذیری، مهاجم قادر خواهد بود اطلاعات زیر را از رکورد‌های CRM استخراج نماید:
- نام و نام خانوادگی کامل
- آدرس‌های ایمیل
- شماره تلفن و موبایل
- شماره فکس
- آدرس‌های پستی و فیزیکی
این مورد نشان‌دهنده ضعف در کنترل دسترسی (Access Control) در سطح پارامترهای ورودی است که اجازه می‌دهد کاربران با سطح دسترسی پایین، داده‌های مربوط به سایر کاربران یا مشتریان را مشاهده کنند.
