یک آسیب‌پذیری امنیتی در افزونه wpForo Forum برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است که به مهاجمان اجازه می‌دهد محدودیت‌های نرخ درخواست (Rate-limit) را دور زده و منابع مالی مالک سایت را هدف قرار دهند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-80514 ثبت شده، در نسخه‌های 3.0.0 تا پیش از 3.1.6 این افزونه وجود دارد. مشکل اصلی در عدم اعتبارسنجی منشأ هدرهای IP ارسالی توسط کاربر (Client-supplied IP address headers) است. افزونه wpForo از این هدرها برای شناسایی بازدیدکنندگان و اعمال محدودیت تعداد درخواست‌ها برای ویژگی‌های AI پولی استفاده می‌کند.
سناریوی حمله
یک مهاجم غیرمجاز (Unauthenticated) می‌تواند با جعل (Spoofing) هدرهای IP، خود را به عنوان کاربران مختلف معرفی کند. این اقدام باعث می‌شود سیستم کنترل نرخ درخواست (Rate-limit) عملاً بی‌اثر شود و مهاجم بتواند به صورت انبوه از قابلیت‌های AI افزونه استفاده کرده و اعتبار مالی (Credits) پرداخت شده توسط مالک سایت را به سرعت تخلیه کند.
تحلیل اثرگذاری
- نوع حمله: Remote Unauthenticated Header Spoofing
- تاثیرات: این آسیب‌پذیری منجر به نشت داده‌ها (Data Exposure)، دسترسی غیرمجاز یا اجرای کد (RCE) نمی‌شود. تاثیر آن صرفاً محدود به تخلیه منابع مالی و ایجاد اختلال در دسترس‌پذیری سرویس AI (Resource Exhaustion) است.
- شرایط بهره‌برداری: برای موفقیت در این حمله، باید ویژگی AI پولی در افزونه فعال و دارای اعتبار باشد و همچنین سرور باید هدرهای Forwarded-IP را از کلاینت‌های غیرقابل اعتماد بپذیرد.
راهکار اصلاحی
به کاربران توصیه می‌شود در سریع‌ترین زمان ممکن افزونه wpForo را به نسخه 3.1.6 یا بالاتر به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
