در نسخه‌های پیش از 3.10.0 افزونه Code Snippets برای وردپرس، یک آسیب‌پذیری امنیتی (CVE-2026-106095) شناسایی شده است که می‌تواند منجر به دسترسی‌های غیرمجاز در محیط‌های چندسایتی (Multisite) شود.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی به دلیل عدم اجرای بررسی سطح دسترسی (Capability Check) در یکی از عملیات‌های مدیریت قطعه‌کدها (Snippet Management) رخ می‌دهد. در این حالت، افزونه محدوده شبکه (Network Scope) قطعه‌کد هدف را به جای استفاده از رکورد ذخیره‌شده در پایگاه داده، مستقیماً از درخواست (Request) کاربر دریافت می‌کند.
این موضوع به مدیر یک سایت فرعی (Subsite Administrator) در یک شبکه Multisite اجازه می‌دهد تا عملیات‌های زیر را روی قطعه‌کدهایی که در سطح کل شبکه اجرا می‌شوند، انجام دهد:
- فعال‌سازی (Activate) قطعه‌کدهای سراسری
- غیرفعال‌سازی (Deactivate) قطعه‌کدهای سراسری
- تغییر اولویت (Reprioritise) اجرای کدها در تمامی سایت‌های موجود در شبکه
سوابق امنیتی افزونه
علاوه بر این مورد، در نسخه‌های قدیمی‌تر این افزونه آسیب‌پذیری‌های دیگری نیز گزارش شده است که نشان‌دهنده چالش‌های امنیتی در توسعه این ابزار است، از جمله:
- CSRF: نقص در بررسی Referer در فرآیند Import در نسخه‌های پیش از 2.14.0.
- Reflected XSS: آسیب‌پذیری در پارامتر
orderbyدر نسخه‌های 2.14.3 و قدیمی‌تر. - CSRF: آسیب‌پذیری با شدت متوسط (CVSS 4.3) در نسخه Pro 5.0.
به مدیران سیستم و توسعه‌دهگان توصیه می‌شود برای رفع این موارد و جلوگیری از سوءاستفاده احتمالی، افزونه خود را سریعاً به آخرین نسخه به‌روزرسانی کنند.
