یک آسیب‌پذیری امنیتی با شناسه CVE-2026-94131 در افزونه AcyMailing Enterprise (نسخه‌های قدیمی‌تر از 11.1.0) شناسایی شده است که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، فایل‌های دلخواه را از روی سرور حذف کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی از نوع Arbitrary File Deletion است. در این سناریو، یک کاربر در سطح مشترک (Subscriber) می‌تواند مسیری خاص را در یک فیلد سفارشی از نوع فایل (File-type custom field) ذخیره کند. زمانی که این فیلد توسط سیستم پاک‌سازی شود، افزونه AcyMailing اقدام به حذف فایل موجود در آن مسیر می‌کند.
دامنه اثرگذاری
بسیاری از تحلیل‌گران هشدار داده‌اند که این نقص تنها به پوشه‌های آپلود محدود نمی‌شود و مهاجم می‌تواند فایل‌های حساس سیستمی و پیکربندی، از جمله فایل configuration.php را هدف قرار دهد. حذف این فایل می‌تواند منجر به از کار افتادن کامل وب‌سایت (Denial of Service) یا ایجاد اختلال در عملکرد CMS شود.
- نسخه‌های آسیب‌پذیر: تمامی نسخه‌های پایین‌تر از 11.1.0
- نوع حمله: بدون نیاز به احراز هویت (Unauthenticated)
- تاثیر: حذف فایل‌های حساس و اختلال در سرویس
