یک آسیب‌پذیری امنیتی با شناسه CVE-2026-115259 در افزونه Photo Engine (Media Organizer & Lightroom) برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است. این نقص امنیتی در تمامی نسخه‌های پیش از 6.6.0، از جمله نسخه 6.5.8، وجود دارد.
جزئیات فنی آسیب‌پذیری
این مشکل ناشی از نبود بررسی‌های مناسب برای احراز صلاحیت (Authorization checks) در یکی از مسیرهای REST API این افزونه است. در نتیجه، مهاجمانی که دارای دسترسی‌های احراز شده در سطح نویسنده (Author) یا بالاتر باشند، می‌توانند از این نقص برای تغییر داده‌های پست‌ها استفاده کنند.
تاثیرات امنیتی
به دلیل این نقص، عامل تهدید می‌تواند موارد زیر را به صورت غیرمجاز تغییر دهد:
- عنوان (Title) و محتوای (Content) پست‌ها و صفحات
- خلاصه (Excerpt) و سایر فیلدهای مربوط به نوشته‌ها
- پیوست‌ها (Attachments) و فایل‌های مرتبط
نکته قابل توجه این است که مهاجم می‌تواند محتوای متعلق به سایر کاربران را نیز ویرایش کند، که این امر منجر به نقض یکپارچگی داده‌ها (Data Integrity) در وب‌سایت‌های آسیب‌پذیر می‌شود.
راهکار مقابله
به مدیران وب‌سایت‌هایی که از این افزونه استفاده می‌کنند توصیه می‌شود در سریع‌ترین زمان ممکن، افزونه Photo Engine را به نسخه 6.6.0 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
