یک آسیب‌پذیری امنیتی با شدت بالا (High) در افزونه WP Travel Engine (نسخه ۶.۸.۰ و قدیمی‌تر) شناسایی شده است که امکان اجرای کدهای مخرب را فراهم می‌کند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-9231 ثبت شده است، از نوع Local File Inclusion (LFI) می‌باشد. این مشکل در تابع wte_get_template رخ داده است که باعث می‌شود مهاجمان بتوانند فایل‌های PHP دلخواه را روی سرور فراخوانی کرده و اجرا کنند.
شرایط بهره‌برداری (Attack Vector)
- سطح دسترسی: مهاجم باید دارای دسترسی احراز هویت شده (Authenticated) با سطح دسترسی Contributor یا بالاتر باشد.
- تاثیر: از طریق این نقص، مهاجم می‌تواند با فراخوانی فایل‌های PHP، کنترل‌های دسترسی (Access Controls) را دور زده، به داده‌های حساس دست یابد یا در نهایت به اجرای کد از راه دور (RCE) دست پیدا کند.
به مدیران سیستم و متخصصان امنیت توصیه می‌شود در سریع‌ترین زمان ممکن این افزونه را به آخرین نسخه منتشر شده به‌روزرسانی کنند تا ریسک بهره‌برداری از این حفره امنیتی کاهش یابد.
