یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-89004 در افزونه WPeMatico RSS Feed Fetcher برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی در نسخه‌های پیش از 2.8.26 وجود دارد و به دلیل عدم بررسی صحیح مالکیت یا مجوزهای دسترسی (Authorization) رخ می‌دهد.
جزئیات فنی آسیب‌پذیری
در این افزونه، مکانیزمی برای بازگرداندن پیکربندی‌های ذخیره‌شده و گزارش‌های اجرای کمپین‌ها (Run Logs) وجود دارد که در نسخه‌های آسیب‌پذیر، احراز هویت کاربر برای دسترسی به این داده‌ها به درستی اعتبارسنجی نمی‌شود. این موضوع منجر به بروز مشکل Broken Access Control شده است.
تاثیر و سطح دسترسی
- سطح دسترسی مورد نیاز: کاربرانی با نقش Contributor (همکار) و بالاتر.
- پیامد: مهاجم می‌تواند پیکربندی‌ها و لاگ‌های اجرایی کمپین‌هایی را که توسط کاربران دیگر، از جمله مدیران سیستم (Administrators)، ایجاد شده‌اند، مشاهده کند.
- ریسک: نشت اطلاعات حساس پیکربندی که می‌تواند منجر به افشای داده‌های داخلی یا تسهیل حملات بعدی شود.
علاوه بر این مورد، گزارش‌های دیگر نشان می‌دهند که این افزونه در نسخه‌های قدیمی‌تر با مشکلاتی نظیر Stored/Reflected XSS و عدم پاک‌سازی (Sanitization) ورودی‌های URL در کمپین‌ها مواجه بوده است که اهمیت به‌روزرسانی سریع به آخرین نسخه را دوچندان می‌کند.
