تیم تحقیقاتی Wordfence آسیب‌پذیری بسیار جدی از نوع Unauthenticated PHP Object Injection را در افزونه‌های محبوب Duplicator و Duplicator Pro کشف کرده است. این آسیب‌پذیری که با شناسه CVE-2026-82814 ردیابی می‌شود، دارای امتیاز CVSS 3.1 معادل 8.8 (High) است و می‌تواند منجر به تسلط کامل مهاجم بر سایت‌های وردپرسی شود.
تحلیل فنی و نحوه بهره‌برداری
این یک آسیب‌پذیری از نوع Second-order (مرتبه دوم) است. مهاجم بدون نیاز به احراز هویت (Unauthenticated)، می‌تواند یک مقدار مخرب را در قالب یک کامنت معمولی وردپرس قرار دهد. این مقدار در پایگاه داده ذخیره شده و تا زمانی که مدیر سایت (Administrator) یک بسته (Package) از طریق افزونه Duplicator ایجاد نکند، غیرفعال باقی می‌ماند. در مرحله مهاجرت (Migration) یا وارد کردن (Import) سایت، این مقدار به عنوان یک شیء PHP پردازش و فعال می‌شود.
پیامدهای این حمله بسته به نسخه افزونه متفاوت است:
- نسخه Duplicator Free: مهاجم می‌تواند از طریق یک زنجیره گجت (Gadget chain) در کتابخانه Requests، دستورات سیستم‌عامل را مستقیماً اجرا کند (RCE).
- نسخه Duplicator Pro: مهاجم می‌تواند فایل‌های حساس از جمله
wp-config.phpرا حذف کند. حذف این فایل باعث باز شدن فرآیند نصب مجدد وردپرس می‌شود؛ اگر مهاجم زودتر به این فرآیند دسترسی پیدا کند، می‌تواند با اتصال سایت به یک پایگاه داده تحت کنترل خود، کنترل کامل سایت و اجرای کد (PHP Code Execution) را به دست بگیرد.
راهکار مقابله و اقدامات ضروری
توسعه‌دهندگان این افزونه، آسیب‌پذیری مذکور را در نسخه 5.0.0 برطرف کرده‌اند. کاربران اکیداً توصیه می‌شود که بلافاصله افزونه خود را به نسخه 5.0.0 یا بالاتر به‌روزرسانی کنند.
توصیه‌های امنیتی برای مدیران سیستم:
- ایجاد بسته‌های جدید: به‌روزرسانی افزونه، بسته‌های (Packages) قدیمی که قبلاً ساخته شده‌اند را اصلاح نمی‌کند. اگر قصد استفاده از بسته‌های قدیمی برای مهاجرت را دارید، حتماً ابتدا یک بسته جدید با نسخه به‌روز شده ایجاد کنید.
- پاکسازی فایل‌ها: فایل‌های نصب‌کننده مستقل (Standalone Installer) که دیگر مورد نیاز نیستند و در دسترس عموم هستند را از روی سرور حذف کنید.
- نظارت بر کامنت‌ها: اگرچه غیرفعال کردن کامنت‌ها می‌تواند مسیر حمله را مسدود کند، اما جایگزینی برای به‌روزرسانی افزونه نیست.
