یک آسیب‌پذیری امنیتی در افزونه MPCX Lightbox برای سیستم مدیریت محتوای وردپرس (نسخه‌های 1.2.2 تا 1.2.5) شناسایی شده است که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت، به محتوای پست‌های حساس دسترسی پیدا کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-87848 ثبت شده است، ناشی از عدم پیاده‌سازی مکانیزم‌های Authorization و Authentication در یکی از اکشن‌های AJAX است. به دلیل نبود بررسی وضعیت پست‌های درخواستی، هر کاربر غیرمجاز (Unauthenticated) می‌تواند با ارسال درخواست به نقطه انتهایی admin-ajax.php، اطلاعات مربوط به پست‌ها را استخراج کند.
تاثیرات و دامنه دسترسی
مهاجمان می‌توانند با استفاده از روش Enumeration (شماری) شناسه‌های پست‌ها، موارد زیر را بازیابی کنند:
- عنوان (Title)، محتوا (Content) و چکیده (Excerpt) پست‌ها
- پست‌های خصوصی (Private) و پیش‌نویس‌ها (Draft)
- پست‌های در انتظار بررسی (Pending) و حذف شده (Trashed)
- پست‌های دارای رمز عبور (Password-protected)
تحلیل سطح ریسک
اگرچه توسعه‌دهنده این مورد را با شدت پایین (Low) ارزیابی کرده است، اما تحلیل‌های فنی نشان می‌دهد که به دلیل وجود Proof-of-Concept (PoC) عمومی و سادگی اجرای حمله (بدون نیاز به تعامل کاربر)، پیچیدگی حمله (Attack Complexity) در سطح پایینی قرار دارد. این آسیب‌پذیری در دسته CWE-862 (عدم وجود مجوز دسترسی) قرار می‌گیرد و تاثیر اصلی آن بر روی محرمانگی (Confidentiality) داده‌ها است.
