افزونه EventPrime برای سیستم مدیریت محتوای وردپرس (WordPress)، در نسخه‌های پیش از 4.3.6.1 دارای یک آسیب‌پذیری از نوع افشای اطلاعات (Information Disclosure) است. این نقص امنیتی باعث می‌شود که وضعیت “در انتظار بررسی” (Pending Review) برای پست‌ها، صفحات و سایر محتواها به درستی محافظت نشود.
در نتیجه، کاربران بدون احراز هویت (Unauthenticated users) می‌توانند به محتواهایی که هنوز منتشر نشده‌اند و در انتظار بازبینی هستند، دسترسی پیدا کنند. این موضوع می‌تواند منجر به نشت اطلاعات حساس و تسهیل مراحل شناسایی (Reconnaissance) توسط مهاجمان شود.
سایر آسیب‌پذیری‌های شناسایی شده در این افزونه
بررسی‌های فنی نشان می‌دهد که افزونه EventPrime با طیف گسترده‌ای از مشکلات امنیتی دیگر نیز روبرو بوده است که مدیریت آن‌ها را برای مدیران سیستم ضروری می‌سازد، از جمله:
- PHP Object Injection: آسیب‌پذیری‌های تزریق شیء PHP در نسخه‌های مختلف که می‌تواند منجر به اجرای کد شود.
- Missing Authorization: نقص در کنترل دسترسی و احراز هویت که اجازه دسترسی غیرمجاز به عملکردهای حساس را می‌دهد.
- CSRF (Cross-Site Request Forgery): عدم وجود بررسی‌های امنیتی در برابر حملات جعل درخواست میان‌سایتی هنگام ایجاد رزروها.
- Improper Input Validation: عدم پاک‌سازی (Sanitization) و خروج امن پارامترها که می‌تواند منجر به حملات تزریق کد شود.
توصیه می‌شود تمامی مدیران سایت‌هایی که از این افزونه استفاده می‌کنند، بلافاصله نسخه خود را به آخرین نسخه پایدار به‌روزرسانی کنند تا از سوءاستفاده احتمالی جلوگیری شود.
