یک آسیب‌پذیری امنیتی در افزونه 10Web Booster برای سیستم مدیریت محتوای وردپرس شناسایی شده است که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، به توابع حساس دسترسی پیدا کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-82195 ثبت شده است، ناشی از فقدان کنترل دسترسی (Missing Authorization) در نسخه‌های پیش از 2.34.0 است. در این نسخه‌ها، دسترسی به روتینی که وظیفه صدور Shared Secret (رمز مشترک) برای احراز هویت اتصال ابری (Cloud Connection) را بر عهده دارد، محدود نشده است.
تاثیرات احتمالی و سناریوی حمله
یک بازدیدکننده ناشناس می‌تواند از طریق این نقص، اقدامات زیر را انجام دهد:
- افشای اطلاعات: دسترسی به رمز مشترک اتصال ابری افزونه و خواندن آن.
- اختلال در سرویس (DoS): حذف مکرر این رمز، که منجر به جلوگیری از برقراری اتصال قانونی توسط مدیر سایت (Administrator) به سرویس‌های ابری 10Web می‌شود.
ارزیابی ریسک
بر اساس تحلیل‌های فنی، این آسیب‌پذیری دارای امتیاز 6.5 (Medium) است. نکته مثبت این است که این نقص منجر به اجرای کد از راه دور (RCE) یا بهسازی کامل سایت نمی‌شود و تاثیر آن تنها محدود به محرمانگی (Confidentiality) اعتبارنامه‌های ابری و در دسترس بودن (Availability) اتصال مدیر است.
این ضعف امنیتی تحت دسته‌بندی CWE-862 (فقدان مجوزهای لازم) قرار می‌گیرد.
