یک آسیب‌پذیری امنیتی در افزونه GTranslate برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است که در نسخه‌های پیش از 5.0.1 وجود دارد. این نقص امنیتی با شناسه CVE-2026-86604 ثبت شده و دارای امتیاز 4.8 (Medium) در مقیاس CVSS است.
تحلیل فنی آسیب‌پذیری
مشکل اصلی این افزونه در عدم حذف Shortcodeها از محتوای ایمیل‌های ارسالی پیش از گسترش (Expansion) آن‌هاست. در شرایطی که افزونه با تنظیمات غیرپیش‌فرض (Non-default configuration) پیکربندی شده باشد، کاربران ناشناس (Unauthenticated) می‌توانند باعث اجرای Shortcodeهای ثبت شده در سمت سرور شوند.
شرایط بهره‌برداری (Exploitation)
برای اینکه یک مهاجم بتواند از این نقص استفاده کند، دو پیش‌شرط حیاتی وجود دارد:
- پیکربندی خاص: افزونه باید به گونه‌ای تنظیم شده باشد که محتوای تحت کنترل کاربر را در بدنه ایمیل‌هایی قرار دهد که از طریق مکانیزم گسترش Shortcode وردپرس پردازش می‌شوند.
- وجود Shortcode کاربردی: باید یک Shortcode فعال و کاربردی از پیش روی سایت ثبت شده باشد تا مهاجم بتواند آن را فراخوانی کند.
تأثیرات امنیتی
به دلیل نیاز به تنظیمات خاص و وابستگی به Shortcodeهای موجود، تأثیر این آسیب‌پذیری محدود شده است. با این حال، در صورت وجود Shortcodeهای حساس، این نقص می‌تواند منجر به نشت اطلاعات (Confidentiality) یا تغییرات جزئی در داده‌ها (Integrity) در سطح پایین (Low) شود.
توصیه امنیتی
به مدیران وب‌سایت‌های وردپرسی توصیه می‌شود سریعاً افزونه GTranslate را به نسخه 5.0.1 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا از بروز این مشکل جلوگیری شود.
