یک آسیب‌پذیری امنیتی با شناسه CVE-2026-85113 در افزونه محبوب GiveWP برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی در نسخه‌های پیش از 4.16.9 وجود دارد و به مهاجمان اجازه می‌دهد تا از مکانیزم‌های فیلترینگ این افزونه عبور کنند.
جزئیات فنی آسیب‌پذیری
مشکل اصلی در نحوه مدیریت مقادیر ارسالی توسط اهداکنندگان (Donors) است. افزونه GiveWP پیش از نمایش این مقادیر در صفحات عمومی، جداکننده‌های Shortcode را به طور کامل حذف نمی‌کند. اگرچه افزونه تلاش می‌کند تا این کدها را پاک‌سازی (Strip) کند، اما مهاجمان می‌توانند با استفاده از تکنیک Nesting (تودرتو کردن کدها)، این لایه دفاعی را دور بزنند.
تاثیرات امنیتی
- دسترسی مورد نیاز: این حمله توسط کاربران احراز هویت نشده (Unauthenticated) قابل اجرا است.
- نوع حمله: اجرای Shortcodeهای دلخواه که روی سایت ثبت شده‌اند.
- پیامد: بسته به Shortcodeهای فعال در سایت، این نقص می‌تواند منجر به افشای اطلاعات حساس یا تغییر در رفتار صفحات وب شود.
به مدیران سیستم و متخصصان امنیت توصیه می‌شود در سریع‌ترین زمان ممکن، افزونه GiveWP را به نسخه 4.16.9 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا این ریسک برطرف گردد.
