🚨 اجرای کد بدون ورود در افزونه WP Project Manager
آسیب‌پذیری بحرانی CVE-2026-116512 با امتیاز 9.8، نسخه‌های 4.1.1 و قدیمی‌تر افزونه weDevs Project Manager را درگیر می‌کند و امکان اجرای کد روی سرور را به مهاجم بدون حساب می‌دهد.
فوراً به نسخه 4.1.2 یا جدیدتر ارتقا دهید. اگر به‌روزرسانی فوری ممکن نیست، افزونه را غیرفعال کنید.
افشا: ۳۰ اکتبر ۲۰۲۶. در منابع بررسی‌شده، بهره‌برداری واقعی تأیید نشده است.
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/wedevs-project-manager/project-manager-411-unauthenticated-remote-code-execution-via-id-parameter-function-injection
~~~~
✅ @WebBanSecurity
آسیب‌پذیری بحرانی CVE-2026-116512 با امتیاز 9.8، نسخه‌های 4.1.1 و قدیمی‌تر افزونه weDevs Project Manager را درگیر می‌کند و امکان اجرای کد روی سرور را به مهاجم بدون حساب می‌دهد.
فوراً به نسخه 4.1.2 یا جدیدتر ارتقا دهید. اگر به‌روزرسانی فوری ممکن نیست، افزونه را غیرفعال کنید.
افشا: ۳۰ اکتبر ۲۰۲۶. در منابع بررسی‌شده، بهره‌برداری واقعی تأیید نشده است.
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/wedevs-project-manager/project-manager-411-unauthenticated-remote-code-execution-via-id-parameter-function-injection
~~~~
✅ @WebBanSecurity
🚨 بارگذاری فایل خطرناک در SimpleForm
آسیب‌پذیری بحرانی CVE-2026-118235 با امتیاز 9.8، نسخه‌های 3.10.2 و قدیمی‌تر افزونه SimpleForm با شناسه simple-form را درگیر می‌کند. مهاجم بدون ورود می‌تواند از طریق فرم عمومی فایل دلخواه بارگذاری کند؛ بسته به تنظیمات سرور، اجرای کد نیز ممکن است.
فوراً به نسخه 3.11.0 یا جدیدتر ارتقا دهید؛ در صورت تأخیر، افزونه را غیرفعال کنید.
افشا: ۳۰ اکتبر ۲۰۲۶. بهره‌برداری واقعی در منابع بررسی‌شده تأیید نشده است.
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/simple-form/simpleform-3102-unauthenticated-arbitrary-file-upload-via-trailing-dot-filename-via-unknown-file-key-in-simpleform-get-submit-data
~~~~
✅ @WebBanSecurity
آسیب‌پذیری بحرانی CVE-2026-118235 با امتیاز 9.8، نسخه‌های 3.10.2 و قدیمی‌تر افزونه SimpleForm با شناسه simple-form را درگیر می‌کند. مهاجم بدون ورود می‌تواند از طریق فرم عمومی فایل دلخواه بارگذاری کند؛ بسته به تنظیمات سرور، اجرای کد نیز ممکن است.
فوراً به نسخه 3.11.0 یا جدیدتر ارتقا دهید؛ در صورت تأخیر، افزونه را غیرفعال کنید.
افشا: ۳۰ اکتبر ۲۰۲۶. بهره‌برداری واقعی در منابع بررسی‌شده تأیید نشده است.
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/simple-form/simpleform-3102-unauthenticated-arbitrary-file-upload-via-trailing-dot-filename-via-unknown-file-key-in-simpleform-get-submit-data
~~~~
✅ @WebBanSecurity
🚨 خطر تصرف حساب مدیر در Easy Digital Downloads
نقص شدت‌بالا با امتیاز 8.1، نسخه‌های 3.7.2 و قدیمی‌تر را درگیر می‌کند. اگر حساب مدیر سابقه مشتری EDD نداشته باشد، مهاجم با وارد کردن ایمیل او و تکمیل خرید مهمان PayPal می‌تواند نشست ورود آن حساب را دریافت کند.
فوراً به نسخه 3.7.3 یا جدیدتر ارتقا دهید. تا نصب وصله، مسیرهای پرداخت PayPal آسیب‌پذیر را غیرفعال کنید.
افشا: ۳۰ اکتبر ۲۰۲۶. CVE در منبع درج نشده و بهره‌برداری واقعی تأیید نشده است.
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/easy-digital-downloads/easy-digital-downloads-372-unauthenticated-authentication-bypass-to-administrator-account-takeover-via-guest-checkout-email-binding-at-paypal-capture
~~~~
✅ @WebBanSecurity
نقص شدت‌بالا با امتیاز 8.1، نسخه‌های 3.7.2 و قدیمی‌تر را درگیر می‌کند. اگر حساب مدیر سابقه مشتری EDD نداشته باشد، مهاجم با وارد کردن ایمیل او و تکمیل خرید مهمان PayPal می‌تواند نشست ورود آن حساب را دریافت کند.
فوراً به نسخه 3.7.3 یا جدیدتر ارتقا دهید. تا نصب وصله، مسیرهای پرداخت PayPal آسیب‌پذیر را غیرفعال کنید.
افشا: ۳۰ اکتبر ۲۰۲۶. CVE در منبع درج نشده و بهره‌برداری واقعی تأیید نشده است.
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/easy-digital-downloads/easy-digital-downloads-372-unauthenticated-authentication-bypass-to-administrator-account-takeover-via-guest-checkout-email-binding-at-paypal-capture
~~~~
✅ @WebBanSecurity
🚨 خطر قرار دادن فایل مخرب در سایت کاربر دیگر
CVE-2026-107663 | WP Toolkit در cPanel و WHM
اطلاعیه سازنده: ۲۱ اکتبر ۲۰۲۶
نسخه‌های 6.11.4 و قدیمی‌تر آسیب‌پذیرند. کاربر احراز هویت‌شده ممکن است بتواند در دامنه متعلق به کاربر دیگری روی همان سرور، فایل مخرب قرار دهد.
✅ خودِ WP Toolkit را فوراً به 6.11.5 یا جدیدتر ارتقا دهید.
✅ نسخه نصب‌شده را با این دستور بررسی کنید:
grep version /usr/local/cpanel/3rdparty/wp-toolkit/build.json
خطر برای جداسازی حساب‌های میزبانی جدی است؛ سازنده امتیاز CVSS اعلام نکرده و بهره‌برداری فعال در منابع بررسی‌شده تأیید نشده است.
منبع:
https://support.cpanel.net/hc/en-us/articles/44210952567575-Vulnerability-CVE-2026-107663-in-WP-Toolkit-on-cPanel-WHM
~~~~
✅ @WebBanSecurity
CVE-2026-107663 | WP Toolkit در cPanel و WHM
اطلاعیه سازنده: ۲۱ اکتبر ۲۰۲۶
نسخه‌های 6.11.4 و قدیمی‌تر آسیب‌پذیرند. کاربر احراز هویت‌شده ممکن است بتواند در دامنه متعلق به کاربر دیگری روی همان سرور، فایل مخرب قرار دهد.
✅ خودِ WP Toolkit را فوراً به 6.11.5 یا جدیدتر ارتقا دهید.
✅ نسخه نصب‌شده را با این دستور بررسی کنید:
grep version /usr/local/cpanel/3rdparty/wp-toolkit/build.json
خطر برای جداسازی حساب‌های میزبانی جدی است؛ سازنده امتیاز CVSS اعلام نکرده و بهره‌برداری فعال در منابع بررسی‌شده تأیید نشده است.
منبع:
https://support.cpanel.net/hc/en-us/articles/44210952567575-Vulnerability-CVE-2026-107663-in-WP-Toolkit-on-cPanel-WHM
~~~~
✅ @WebBanSecurity
🔴 اصلاحیه کرنل CloudLinux 7 hybrid و 8 وارد مخزن اصلی شد
در ۳۱ اکتبر ۲۰۲۶، اصلاحیه ZDI-CAN-33367 برای این دو شاخه وارد مخزن اصلی شد؛ دیگر نیازی به مخزن rollout-bypass نیست.
این نقص در صورت فعال‌بودن ساخت namespace توسط کاربران عادی، می‌تواند دسترسی آن‌ها را به root ارتقا دهد. کد بهره‌برداری عمومی است، اما سازنده گزارشی از سوءاستفاده واقعی اعلام نکرده است.
با دسترسی root اجرا کنید:
yum clean all && yum update 'kernel*'
پس از موفقیت به‌روزرسانی، سرور را در زمان مناسب راه‌اندازی مجدد کنید:
reboot
سپس با uname -r بررسی کنید کرنل فعال حداقل یکی از نسخه‌های زیر، متناسب با سیستم‌عامل باشد:
CloudLinux 7 hybrid:
4.18.0-553.177.1.lve.1.el7h
CloudLinux 8:
4.18.0-553.177.1.lve.1.el8
CloudLinux 7 معمولی تحت‌تأثیر این نقص نیست.
منبع:
https://blog.cloudlinux.com/zdi-can-33367
~~~~
از خطر باخبر شوید، به‌موقع اقدام کنید.
✅ @WebBanSecurity
در ۳۱ اکتبر ۲۰۲۶، اصلاحیه ZDI-CAN-33367 برای این دو شاخه وارد مخزن اصلی شد؛ دیگر نیازی به مخزن rollout-bypass نیست.
این نقص در صورت فعال‌بودن ساخت namespace توسط کاربران عادی، می‌تواند دسترسی آن‌ها را به root ارتقا دهد. کد بهره‌برداری عمومی است، اما سازنده گزارشی از سوءاستفاده واقعی اعلام نکرده است.
با دسترسی root اجرا کنید:
yum clean all && yum update 'kernel*'
پس از موفقیت به‌روزرسانی، سرور را در زمان مناسب راه‌اندازی مجدد کنید:
reboot
سپس با uname -r بررسی کنید کرنل فعال حداقل یکی از نسخه‌های زیر، متناسب با سیستم‌عامل باشد:
CloudLinux 7 hybrid:
4.18.0-553.177.1.lve.1.el7h
CloudLinux 8:
4.18.0-553.177.1.lve.1.el8
CloudLinux 7 معمولی تحت‌تأثیر این نقص نیست.
منبع:
https://blog.cloudlinux.com/zdi-can-33367
از خطر باخبر شوید، به‌موقع اقدام کنید.
✅ @WebBanSecurity
🚨 اجرای کد بدون ورود در افزونه فاکتور ووکامرس
CVE-2026-109220 | بحرانی، امتیاز 9.8
افزونه PDF Invoice for WooCommerce + Drag and Drop Template Builder از add-ons.org، با شناسه pdf-for-woocommerce، در نسخه‌های 7.1.1 و قدیمی‌تر آسیب‌پذیر است.
اطلاعات مخرب هنگام ثبت سفارش مهمان می‌تواند در زمان ساخت فاکتور به اجرای کد روی سرور منجر شود؛ مسیر ثبت سفارش با پرداخت انتقال بانکی یا چک نیز در گزارش آمده است.
✅ فوراً به 7.2.0 یا جدیدتر ارتقا دهید.
✅ اگر ارتقا فعلاً ممکن نیست، افزونه را غیرفعال کنید.
افشا: ۳۰ اکتبر؛ انتشار CVE: ۳۱ اکتبر ۲۰۲۶.
بهره‌برداری فعال در منابع بررسی‌شده تأیید نشده است.
منبع:
https://patchstack.com/database/wordpress/plugin/pdf-for-woocommerce/vulnerability/wordpress-pdf-invoice-for-woocommerce-drag-and-drop-template-builder-plugin-7-1-1-unauthenticated-php-object-injection-to-remote-code-execution-vulnerability
~~~~
از خطر باخبر شوید، به‌موقع اقدام کنید.
✅ @WebBanSecurity
CVE-2026-109220 | بحرانی، امتیاز 9.8
افزونه PDF Invoice for WooCommerce + Drag and Drop Template Builder از add-ons.org، با شناسه pdf-for-woocommerce، در نسخه‌های 7.1.1 و قدیمی‌تر آسیب‌پذیر است.
اطلاعات مخرب هنگام ثبت سفارش مهمان می‌تواند در زمان ساخت فاکتور به اجرای کد روی سرور منجر شود؛ مسیر ثبت سفارش با پرداخت انتقال بانکی یا چک نیز در گزارش آمده است.
✅ فوراً به 7.2.0 یا جدیدتر ارتقا دهید.
✅ اگر ارتقا فعلاً ممکن نیست، افزونه را غیرفعال کنید.
افشا: ۳۰ اکتبر؛ انتشار CVE: ۳۱ اکتبر ۲۰۲۶.
بهره‌برداری فعال در منابع بررسی‌شده تأیید نشده است.
منبع:
https://patchstack.com/database/wordpress/plugin/pdf-for-woocommerce/vulnerability/wordpress-pdf-invoice-for-woocommerce-drag-and-drop-template-builder-plugin-7-1-1-unauthenticated-php-object-injection-to-remote-code-execution-vulnerability
از خطر باخبر شوید، به‌موقع اقدام کنید.
✅ @WebBanSecurity
🚨 گسترش هشدار افزونه مخرب Claude Code در Cursor
اطلاعیه اصلاح‌شده ۳۰ اکتبر ۲۰۲۶، نسخه 2.1.312 را نیز کنار 2.1.313 درگیر اعلام می‌کند.
اگر افزونه Anthropic.claude-code را روی macOS یا Windows، از مارکت Cursor در ۲۹ اکتبر بین 09:27 تا 20:35 به وقت UTC نصب یا به‌روزرسانی کرده‌اید، بررسی کنید.
✅ شاخص‌ها و ابزار بررسی صفحه رسمی Cursor را استفاده کنید.
✅ سیستم دارای نشانه اجرای بدافزار را ایزوله کنید.
✅ با اسکریپت پاک‌سازی سازنده، کلید SSH غیرمجاز، فایل‌های ماندگاری و تونل‌های فعال را حذف کنید.
✅ رمزها، کلیدها و نشست‌های قابل‌دسترسی از سیستم درگیر را از دستگاه سالم تعویض کنید.
حذف افزونه به‌تنهایی پاک‌سازی کامل نیست. این هشدار مربوط به بسته‌های دست‌کاری‌شده مارکت Cursor است.
منبع:
https://cursor.com/blog/claude-code-extension-security-notice
~~~~
از خطر باخبر شوید، به‌موقع اقدام کنید.
✅ @WebBanSecurity
اطلاعیه اصلاح‌شده ۳۰ اکتبر ۲۰۲۶، نسخه 2.1.312 را نیز کنار 2.1.313 درگیر اعلام می‌کند.
اگر افزونه Anthropic.claude-code را روی macOS یا Windows، از مارکت Cursor در ۲۹ اکتبر بین 09:27 تا 20:35 به وقت UTC نصب یا به‌روزرسانی کرده‌اید، بررسی کنید.
✅ شاخص‌ها و ابزار بررسی صفحه رسمی Cursor را استفاده کنید.
✅ سیستم دارای نشانه اجرای بدافزار را ایزوله کنید.
✅ با اسکریپت پاک‌سازی سازنده، کلید SSH غیرمجاز، فایل‌های ماندگاری و تونل‌های فعال را حذف کنید.
✅ رمزها، کلیدها و نشست‌های قابل‌دسترسی از سیستم درگیر را از دستگاه سالم تعویض کنید.
حذف افزونه به‌تنهایی پاک‌سازی کامل نیست. این هشدار مربوط به بسته‌های دست‌کاری‌شده مارکت Cursor است.
منبع:
https://cursor.com/blog/claude-code-extension-security-notice
از خطر باخبر شوید، به‌موقع اقدام کنید.
✅ @WebBanSecurity
🚨 هشدار فوری برای کاربران Gravity Forms در وردپرس
آسیب‌پذیری CVE-2026-103039 با شدت بحرانی ۹٫۸، نسخه‌های 3.1.2 و قدیمی‌تر را تحت تأثیر قرار می‌دهد.
مهاجم بدون ورود به حساب می‌تواند از برخی فرم‌های دارای فیلد سفارشی نوشته با نوع List برای تزریق شیء PHP استفاده کند. در صورت وجود شرایط تکمیلی، اجرای کد روی سایت نیز ممکن است.
Patchstack این آسیب‌پذیری را در وضعیت «بهره‌برداری‌شده» قرار داده است.
✅ فوراً افزونه را به نسخه 3.1.3 یا جدیدتر به‌روزرسانی کنید. اگر فعلاً امکان به‌روزرسانی ندارید، افزونه را موقتاً غیرفعال کنید.
تاریخ افشای عمومی: ۲۹ اکتبر ۲۰۲۶
منبع:
https://patchstack.com/database/wordpress/plugin/gravityforms/vulnerability/wordpress-gravity-forms-plugin-3-1-2-unauthenticated-php-object-injection-vulnerability
~~~~
✅ @WebBanSecurity
آسیب‌پذیری CVE-2026-103039 با شدت بحرانی ۹٫۸، نسخه‌های 3.1.2 و قدیمی‌تر را تحت تأثیر قرار می‌دهد.
مهاجم بدون ورود به حساب می‌تواند از برخی فرم‌های دارای فیلد سفارشی نوشته با نوع List برای تزریق شیء PHP استفاده کند. در صورت وجود شرایط تکمیلی، اجرای کد روی سایت نیز ممکن است.
Patchstack این آسیب‌پذیری را در وضعیت «بهره‌برداری‌شده» قرار داده است.
✅ فوراً افزونه را به نسخه 3.1.3 یا جدیدتر به‌روزرسانی کنید. اگر فعلاً امکان به‌روزرسانی ندارید، افزونه را موقتاً غیرفعال کنید.
تاریخ افشای عمومی: ۲۹ اکتبر ۲۰۲۶
منبع:
https://patchstack.com/database/wordpress/plugin/gravityforms/vulnerability/wordpress-gravity-forms-plugin-3-1-2-unauthenticated-php-object-injection-vulnerability
~~~~
✅ @WebBanSecurity
🔴 به‌روزرسانی فوری رخداد امنیتی Northflank
امکان تعویض اطلاعات محرمانه برای همه کاربران سرویس‌های جانبی زیر فعال شده است:
• MinIO: از ۳۱ اکتبر ۲۰۲۶، ساعت ۲۲:۳۲ UTC
• RabbitMQ: از همان روز، ساعت ۲۳:۳۱ UTC
✅ اگر از این سرویس‌ها در Northflank استفاده می‌کنید، فوراً اطلاعات دسترسی را تعویض و تنظیمات برنامه‌های متصل را به‌روز کنید. دسترسی عمومی غیرضروری را نیز ببندید.
Northflank توصیه می‌کند همه اسرار محیط را افشاشده فرض کنید. این اطلاعیه به‌معنای تأیید سرقت داده‌های MinIO یا RabbitMQ نیست.
منبع:
https://status.northflank.com/
~~~~
✅ @WebBanSecurity
امکان تعویض اطلاعات محرمانه برای همه کاربران سرویس‌های جانبی زیر فعال شده است:
• MinIO: از ۳۱ اکتبر ۲۰۲۶، ساعت ۲۲:۳۲ UTC
• RabbitMQ: از همان روز، ساعت ۲۳:۳۱ UTC
✅ اگر از این سرویس‌ها در Northflank استفاده می‌کنید، فوراً اطلاعات دسترسی را تعویض و تنظیمات برنامه‌های متصل را به‌روز کنید. دسترسی عمومی غیرضروری را نیز ببندید.
Northflank توصیه می‌کند همه اسرار محیط را افشاشده فرض کنید. این اطلاعیه به‌معنای تأیید سرقت داده‌های MinIO یا RabbitMQ نیست.
منبع:
https://status.northflank.com/
~~~~
✅ @WebBanSecurity
🔴 نقص کرنل CVE-2025-39964
این نقص AF_ALG می‌تواند دسترسی کاربر عادی را به root ارتقا دهد و در فهرست آسیب‌پذیری‌های سوءاستفاده‌شده قرار دارد.
در CloudLinux 7 hybrid و 8، کرنل باید حداقل 4.18.0-553.168.1.lve باشد:
yum update kernel
reboot
برای سایر شاخه‌ها، وضعیت اصلاحیه مخصوص همان شاخه را در منبع بررسی کنید؛ بستن namespace این نقص را رفع نمی‌کند.
منبع:
https://cloudlinux.statuspage.io/
~~~~
✅ @WebBanSecurity
این نقص AF_ALG می‌تواند دسترسی کاربر عادی را به root ارتقا دهد و در فهرست آسیب‌پذیری‌های سوءاستفاده‌شده قرار دارد.
در CloudLinux 7 hybrid و 8، کرنل باید حداقل 4.18.0-553.168.1.lve باشد:
yum update kernel
reboot
برای سایر شاخه‌ها، وضعیت اصلاحیه مخصوص همان شاخه را در منبع بررسی کنید؛ بستن namespace این نقص را رفع نمی‌کند.
منبع:
https://cloudlinux.statuspage.io/
~~~~
✅ @WebBanSecurity
🔴 نقص کرنل CVE-2026-53266
این نقص فایروال bridge، با پیش‌شرط‌های مشخص، می‌تواند باعث خرابی حافظه یا افزایش دسترسی شود و در فهرست سوءاستفاده‌شده‌ها قرار دارد.
CloudLinux 7 hybrid و 8 را به کرنل 4.18.0-553.142.1.lve یا جدیدتر ارتقا دهید و راه‌اندازی مجدد کنید.
راهکار موقت برای بستن مسیر کاربران عادی:
sysctl -w user.max_user_namespaces=0
این تنظیم کانتینرهای rootless را مختل می‌کند و جای اصلاحیه را نمی‌گیرد.
منبع:
https://cloudlinux.statuspage.io/
~~~~
از خطر باخبر شوید، به‌موقع اقدام کنید.
✅ @WebBanSecurity
این نقص فایروال bridge، با پیش‌شرط‌های مشخص، می‌تواند باعث خرابی حافظه یا افزایش دسترسی شود و در فهرست سوءاستفاده‌شده‌ها قرار دارد.
CloudLinux 7 hybrid و 8 را به کرنل 4.18.0-553.142.1.lve یا جدیدتر ارتقا دهید و راه‌اندازی مجدد کنید.
راهکار موقت برای بستن مسیر کاربران عادی:
sysctl -w user.max_user_namespaces=0
این تنظیم کانتینرهای rootless را مختل می‌کند و جای اصلاحیه را نمی‌گیرد.
منبع:
https://cloudlinux.statuspage.io/
از خطر باخبر شوید، به‌موقع اقدام کنید.
✅ @WebBanSecurity
🔴 نقص kernel TLS با شناسه CVE-2025-39682
در CloudLinux 8 LTS، 9، 9 LTS و 10، استفاده از kernel TLS می‌تواند مسیر نشت حافظه یا ازکارافتادن سرور را فراهم کند. این نقص در فهرست سوءاستفاده‌شده‌ها قرار دارد.
در CloudLinux 10، کرنل 6.12.0-211.59.1.el10_2 یا جدیدتر را نصب و سرور را راه‌اندازی مجدد کنید.
برای سایر شاخه‌ها، اصلاحیه مخصوص همان شاخه را طبق جدول سازنده اعمال کنید.
منبع:
https://cloudlinux.statuspage.io/
~~~~
✅ @WebBanSecurity
در CloudLinux 8 LTS، 9، 9 LTS و 10، استفاده از kernel TLS می‌تواند مسیر نشت حافظه یا ازکارافتادن سرور را فراهم کند. این نقص در فهرست سوءاستفاده‌شده‌ها قرار دارد.
در CloudLinux 10، کرنل 6.12.0-211.59.1.el10_2 یا جدیدتر را نصب و سرور را راه‌اندازی مجدد کنید.
برای سایر شاخه‌ها، اصلاحیه مخصوص همان شاخه را طبق جدول سازنده اعمال کنید.
منبع:
https://cloudlinux.statuspage.io/
~~~~
✅ @WebBanSecurity
🔴 دورزدن احراز هویت در Laravel TokenGuard
نقص بحرانی CVE-2026-114509 با امتیاز ۹٫۲، برنامه‌های دارای TokenGuard داخلی را در برخی تنظیمات MySQL یا MariaDB تهدید می‌کند. مهاجم ممکن است بدون توکن معتبر، به‌جای کاربر دیگری احراز هویت شود.
نسخه‌های آسیب‌پذیر:
• پایین‌تر از 12.68.0
• شاخه 13 پیش از 13.29.0
✅ بسته laravel/framework را در شاخه 12 به 12.68.0 یا جدیدتر، و در شاخه 13 به 13.29.0 یا جدیدتر ارتقا دهید و برنامه را دوباره مستقر کنید. تا اصلاح، دسترسی به API آسیب‌پذیر را محدود کنید.
سوءاستفاده واقعی مستقلاً تأیید نشده است.
تاریخ اطلاعیه: ۱۹ اکتبر ۲۰۲۶
منبع:
https://github.com/laravel/framework/security/advisories/GHSA-f9x3-7vq9-cph6
~~~~
✅ @WebBanSecurity
نقص بحرانی CVE-2026-114509 با امتیاز ۹٫۲، برنامه‌های دارای TokenGuard داخلی را در برخی تنظیمات MySQL یا MariaDB تهدید می‌کند. مهاجم ممکن است بدون توکن معتبر، به‌جای کاربر دیگری احراز هویت شود.
نسخه‌های آسیب‌پذیر:
• پایین‌تر از 12.68.0
• شاخه 13 پیش از 13.29.0
✅ بسته laravel/framework را در شاخه 12 به 12.68.0 یا جدیدتر، و در شاخه 13 به 13.29.0 یا جدیدتر ارتقا دهید و برنامه را دوباره مستقر کنید. تا اصلاح، دسترسی به API آسیب‌پذیر را محدود کنید.
سوءاستفاده واقعی مستقلاً تأیید نشده است.
تاریخ اطلاعیه: ۱۹ اکتبر ۲۰۲۶
منبع:
https://github.com/laravel/framework/security/advisories/GHSA-f9x3-7vq9-cph6
~~~~
✅ @WebBanSecurity