یک آسیب‌پذیری امنیتی جدی با شناسه CVE-2026-106097 در افزونه Code Snippets برای سیستم مدیریت محتوای وردپرس (WordPress) کشف شده است. این نقص امنیتی در نسخه‌های پیش از 3.10.0 وجود دارد و به دلیل عدم پاک‌سازی (Sanitise) و خنثی‌سازی (Escape) پارامترهای ورودی کاربر در برخی از نقاط انتهایی (Endpoints) مربوط به وارد کردن داده‌های مهاجرت (Snippet-migration import)، رخ می‌دهد.
جزئیات فنی و مکانیسم حمله
این آسیب‌پذیری به کاربران دارای دسترسی مدیریت سایت (Site-administration capabilities) اجازه می‌دهد تا کوئری‌های SQL مخرب را تزریق کنند. در محیط‌های WordPress Multisite، این دسترسی در اختیار مدیران زیرسایت‌ها (Subsite Administrators) است. در نتیجه، یک مدیر زیرسایت که دسترسی Super Admin شبکه را ندارد، می‌تواند از طریق تکنیک UNION-based SQL injection، به جداول مشترک شبکه دسترسی پیدا کرده و داده‌های حساس در سطح کل شبکه را استخراج کند.
پیامدهای امنیتی
مهم‌ترین خطر این آسیب‌پذیری، امکان افشای داده‌های حساس شبکه است. مهاجم می‌تواند با بهره‌برداری از این نقص، اطلاعاتی نظیر Password Hashes سایر کاربران شبکه را به دست آورد که در نهایت منجر به نشت گسترده داده‌ها و احتمالاً تصاحب کامل حساب‌های کاربری سطح بالا می‌شود.
توصیه‌های امنیتی
به تمامی مدیران سیستم و متخصصان امنیت توصیه می‌شود در سریع‌ترین زمان ممکن، افزونه Code Snippets را به نسخه 3.10.0 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
