یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-96897 در افزونه Optima Express IDX برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است. این نقص امنیتی در تمامی نسخه‌های پیش از 8.7.6 وجود دارد و به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت، دسترسی‌های خود را ارتقا دهند.
جزئیات فنی آسیب‌پذیری
این مشکل ناشی از عدم بررسی مجوزهای دسترسی (Authorization Check) در یکی از اکشن‌های AJAX است که برای کاربران خارج شده (Logged-out) در دسترس قرار دارد. به دلیل این نقص، یک مهاجم غیرمجاز می‌تواند اقدامات زیر را انجام دهد:
- اجبار سیستم به ایجاد یک حساب کاربری با نقش ثابت Author (نویسنده).
- چرخش مکرر (Rotate) رمز عبور اپلیکیشن (Application Password) برای حساب ایجاد شده در هر نصب متصل.
این وضعیت منجر به Unauthenticated Privilege Escalation یا ارتقای سطح دسترسی بدون احراز هویت می‌شود که می‌تواند امنیت کل وب‌سایت را به مخاطره بیندازد.
راهکار مقابله
به کاربران توصیه می‌شود در سریع‌ترین زمان ممکن، افزونه Optima Express IDX را به نسخه 8.7.6 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
