یک آسیب‌پذیری امنیتی بحرانی از نوع Remote Code Execution (RCE) در افزونه AcyMailing Enterprise (نسخه‌های قدیمی‌تر از 11.1.0) شناسایی شده است که با شناسه CVE-2026-94132 ثبت گردیده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در قابلیت mailbox action این افزونه وجود دارد. در نسخه‌های آسیب‌پذیر، بخش‌های MIME ایمیل‌های دریافتی بدون بررسی پسوند فایل (Extension Check)، در مسیر media/com_acym/upload/ ذخیره می‌شدند. این نقص به مهاجم اجازه می‌دهد تا با ارسال یک ایمیل specially-crafted به صندوق پستی مورد نظاره، یک فایل PHP مخرب را مستقیماً در ریشه وب (Web Root) قرار داده و آن را اجرا کند.
تاثیرات امنیتی
- اجرای کد از راه دور: مهاجم می‌تواند دستورات دلخواه خود را روی سرور اجرا کرده و کنترل کامل سایت را به دست بگیرد.
- سطح دسترسی: هر شخصی که بتواند به ایمیل‌های مانیتور شده توسط افزونه پیام بفرستد، می‌تواند از این آسیب‌پذیری بهره‌برداری کند.
کاربرانی که از این افزونه استفاده می‌کنند، باید در سریع‌ترین زمان ممکن آن را به نسخه 11.1.0 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا از بروز حملات احتمالی جلوگیری شود.
