🚨 نقص بحرانی در YesWiki
آسیب‌پذیری CVE-2026-116207 با امتیاز 9.1 می‌تواند بدون ورود، اطلاعات پایگاه داده از جمله هش رمز کاربران را افشا کند یا سایت را از دسترس خارج کند.
متأثر طبق رکورد CVE:
نسخه‌های 4.6.0 تا پیش از 4.7.0
نسخه‌های 5.0.0-alpha1 تا alpha3
✅ شاخه پایدار را به 4.7.0 یا بالاتر ارتقا دهید.
✅ برای شاخه آزمایشی، اصلاحیه در 5.0.0-alpha4 موجود است.
✅ تا زمان ارتقا، دسترسی عمومی به API جست‌وجوی ورودی‌های Bazar را محدود کنید.
نمونه عملی حمله منتشر شده، اما سوءاستفاده فعال در منبع بررسی‌شده تأیید نشده است.
انتشار اطلاعیه سازنده: ۹ اکتبر ۲۰۲۶
منبع:
https://github.com/YesWiki/yeswiki/security/advisories/GHSA-ccp2-6q93-hggh
~~~~
✅ @WebBanSecurity
آسیب‌پذیری CVE-2026-116207 با امتیاز 9.1 می‌تواند بدون ورود، اطلاعات پایگاه داده از جمله هش رمز کاربران را افشا کند یا سایت را از دسترس خارج کند.
متأثر طبق رکورد CVE:
نسخه‌های 4.6.0 تا پیش از 4.7.0
نسخه‌های 5.0.0-alpha1 تا alpha3
✅ شاخه پایدار را به 4.7.0 یا بالاتر ارتقا دهید.
✅ برای شاخه آزمایشی، اصلاحیه در 5.0.0-alpha4 موجود است.
✅ تا زمان ارتقا، دسترسی عمومی به API جست‌وجوی ورودی‌های Bazar را محدود کنید.
نمونه عملی حمله منتشر شده، اما سوءاستفاده فعال در منبع بررسی‌شده تأیید نشده است.
انتشار اطلاعیه سازنده: ۹ اکتبر ۲۰۲۶
منبع:
https://github.com/YesWiki/yeswiki/security/advisories/GHSA-ccp2-6q93-hggh
~~~~
✅ @WebBanSecurity
👍2
🔔 وصله امنیتی Roundcube برای کاربران Plesk منتشر شد
اگر روی Plesk لینوکس از Roundcube شاخه 1.6 با نسخه پایین‌تر از 1.6.20 استفاده می‌کنید، به‌روزرسانی کنید. این وصله چند مشکل امنیتی از جمله تزریق دستور ایمیل و دور زدن برخی محدودیت‌های امنیتی وب‌میل را برطرف می‌کند.
✅ Plesk را به نسخه 18.0.81 Update 5 یا جدیدتر ارتقا دهید و بررسی کنید نسخه نصب‌شده Roundcube حداقل 1.6.20 باشد.
این به‌روزرسانی Plesk در ۲۶ اکتبر ۲۰۲۶ منتشر شده است.
منبع:
https://docs.plesk.com/release-notes/obsidian/change-log/
~~~~
✅ @WebBanSecurity
اگر روی Plesk لینوکس از Roundcube شاخه 1.6 با نسخه پایین‌تر از 1.6.20 استفاده می‌کنید، به‌روزرسانی کنید. این وصله چند مشکل امنیتی از جمله تزریق دستور ایمیل و دور زدن برخی محدودیت‌های امنیتی وب‌میل را برطرف می‌کند.
✅ Plesk را به نسخه 18.0.81 Update 5 یا جدیدتر ارتقا دهید و بررسی کنید نسخه نصب‌شده Roundcube حداقل 1.6.20 باشد.
این به‌روزرسانی Plesk در ۲۶ اکتبر ۲۰۲۶ منتشر شده است.
منبع:
https://docs.plesk.com/release-notes/obsidian/change-log/
~~~~
✅ @WebBanSecurity
👍2
🚨 نقص بحرانی در افزونه Prime Mover وردپرس
آسیب‌پذیری CVE-2026-115806 با امتیاز 9.8، نسخه 2.2.1 و قدیمی‌تر افزونه پشتیبان‌گیری و انتقال Prime Mover را تحت‌تأثیر قرار می‌دهد.
مهاجم می‌تواند بدون ورود، داده مخرب را در دیدگاه سایت ذخیره کند. هنگام خروجی گرفتن یا بازیابی بعدی توسط مدیر، این داده می‌تواند باعث تزریق شیء PHP و تغییر تنظیمات وردپرس شود.
✅ پیش از خروجی گرفتن، انتقال یا بازیابی، افزونه را به نسخه 2.2.2 یا بالاتر ارتقا دهید.
سوءاستفاده فعال در اطلاعیه بررسی‌شده تأیید نشده است.
انتشار اطلاعیه: ۲۲ اکتبر ۲۰۲۶
آخرین به‌روزرسانی: ۲۷ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/prime-mover/prime-mover-221-unauthenticated-php-object-injection-via-base64-encoded-comment-during-migration-search-and-replace
~~~~
✅ @WebBanSecurity
آسیب‌پذیری CVE-2026-115806 با امتیاز 9.8، نسخه 2.2.1 و قدیمی‌تر افزونه پشتیبان‌گیری و انتقال Prime Mover را تحت‌تأثیر قرار می‌دهد.
مهاجم می‌تواند بدون ورود، داده مخرب را در دیدگاه سایت ذخیره کند. هنگام خروجی گرفتن یا بازیابی بعدی توسط مدیر، این داده می‌تواند باعث تزریق شیء PHP و تغییر تنظیمات وردپرس شود.
✅ پیش از خروجی گرفتن، انتقال یا بازیابی، افزونه را به نسخه 2.2.2 یا بالاتر ارتقا دهید.
سوءاستفاده فعال در اطلاعیه بررسی‌شده تأیید نشده است.
انتشار اطلاعیه: ۲۲ اکتبر ۲۰۲۶
آخرین به‌روزرسانی: ۲۷ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/prime-mover/prime-mover-221-unauthenticated-php-object-injection-via-base64-encoded-comment-during-migration-search-and-replace
~~~~
✅ @WebBanSecurity
👍3
⚠️ خطر اجرای کد در Rank Math SEO وردپرس
نقص CVE-2026-1928 با امتیاز 8.8، نسخه 1.0.276 و قدیمی‌تر را تحت‌تأثیر قرار می‌دهد.
کاربر دارای نقش مشارکت‌کننده یا بالاتر می‌تواند شیء PHP تزریق کند. اجرای کد به وجود زنجیره کد قابل‌سوءاستفاده دیگری در سایت وابسته است.
✅ این نقص در 1.0.277 اصلاح شده است؛ افزونه را به نسخه فعلی 1.0.280 یا نسخه جدیدتر اصلاح‌شده ارتقا دهید.
سوءاستفاده فعال در اطلاعیه تأیید نشده است.
انتشار اطلاعیه: ۲۷ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/seo-by-rank-math/rank-math-seo-10276-authenticated-contributor-php-object-injection-to-remote-code-execution
~~~~
✅ @WebBanSecurity
نقص CVE-2026-1928 با امتیاز 8.8، نسخه 1.0.276 و قدیمی‌تر را تحت‌تأثیر قرار می‌دهد.
کاربر دارای نقش مشارکت‌کننده یا بالاتر می‌تواند شیء PHP تزریق کند. اجرای کد به وجود زنجیره کد قابل‌سوءاستفاده دیگری در سایت وابسته است.
✅ این نقص در 1.0.277 اصلاح شده است؛ افزونه را به نسخه فعلی 1.0.280 یا نسخه جدیدتر اصلاح‌شده ارتقا دهید.
سوءاستفاده فعال در اطلاعیه تأیید نشده است.
انتشار اطلاعیه: ۲۷ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/seo-by-rank-math/rank-math-seo-10276-authenticated-contributor-php-object-injection-to-remote-code-execution
~~~~
✅ @WebBanSecurity
👍2
🚨 سوءاستفاده فعال از نقص Brotli تأیید شد
CISA در ۲۷ اکتبر ۲۰۲۶، آسیب‌پذیری CVE-2026-111497 را به فهرست نقص‌های مورد سوءاستفاده اضافه کرد.
برنامه‌هایی در خطرند که با نسخه آسیب‌پذیر Brotli، داده فشرده دریافتی از منابع نامطمئن را باز می‌کنند. پیامد ممکن است افشای حافظه، اختلال یا اجرای کد باشد.
✅ نسخه اصلاح‌شده متناسب را نصب کنید:
Brotli: 1.2.1
Python brotlicffi شاخه 1.2.0.x: نسخه 1.2.1.0
Node.js: 22.23.4 / 24.22.1 / 26.12.1
.NET: 8.0.33 / 9.0.22 / 10.0.14 / 11 RC3
بسته‌های رسمی PHP ویندوز:
8.2.35-1 / 8.3.36-1 / 8.4.27-1 / 8.5.12-1
پسوند -1 مهم است؛ شماره نسخه نمایش‌داده‌شده PHP تغییر نمی‌کند. این مسیر به فعال بودن بازکردن خودکار پاسخ فشرده در cURL وابسته است.
سرویس‌ها را مجدداً راه‌اندازی و برنامه‌ها یا کانتینرهای دارای کتابخانه داخلی را بازسازی کنید.
تأیید سوءاستفاده مربوط به خود نقص است؛ به معنی تأیید حمله به تمام محصولات بالا نیست.
منابع:
https://github.com/google/brotli/releases/tag/v1.2.1
https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
https://www.php.net/archive/2026.php
https://www.cisa.gov/known-exploited-vulnerabilities-catalog
~~~~
✅ @WebBanSecurity
CISA در ۲۷ اکتبر ۲۰۲۶، آسیب‌پذیری CVE-2026-111497 را به فهرست نقص‌های مورد سوءاستفاده اضافه کرد.
برنامه‌هایی در خطرند که با نسخه آسیب‌پذیر Brotli، داده فشرده دریافتی از منابع نامطمئن را باز می‌کنند. پیامد ممکن است افشای حافظه، اختلال یا اجرای کد باشد.
✅ نسخه اصلاح‌شده متناسب را نصب کنید:
Brotli: 1.2.1
Python brotlicffi شاخه 1.2.0.x: نسخه 1.2.1.0
Node.js: 22.23.4 / 24.22.1 / 26.12.1
.NET: 8.0.33 / 9.0.22 / 10.0.14 / 11 RC3
بسته‌های رسمی PHP ویندوز:
8.2.35-1 / 8.3.36-1 / 8.4.27-1 / 8.5.12-1
پسوند -1 مهم است؛ شماره نسخه نمایش‌داده‌شده PHP تغییر نمی‌کند. این مسیر به فعال بودن بازکردن خودکار پاسخ فشرده در cURL وابسته است.
سرویس‌ها را مجدداً راه‌اندازی و برنامه‌ها یا کانتینرهای دارای کتابخانه داخلی را بازسازی کنید.
تأیید سوءاستفاده مربوط به خود نقص است؛ به معنی تأیید حمله به تمام محصولات بالا نیست.
منابع:
https://github.com/google/brotli/releases/tag/v1.2.1
https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
https://www.php.net/archive/2026.php
https://www.cisa.gov/known-exploited-vulnerabilities-catalog
~~~~
✅ @WebBanSecurity
👍2
🚨 سوءاستفاده فعال از نقص Adobe Commerce و Magento
نقص بحرانی CVE-2026-48356 با امتیاز 9.6، امکان بارگذاری فایل خطرناک بدون ورود را فراهم می‌کند. بهره‌برداری به تعامل کاربر نیاز دارد و می‌تواند به افزایش دسترسی یا اجرای کد منجر شود.
CISA سوءاستفاده فعال را در ۲۷ اکتبر ۲۰۲۶ تأیید کرده است.
متأثر در صورت نصب نبودن اصلاحیه:
2.4.9
2.4.8-p5 و قدیمی‌تر
2.4.7-p10 و قدیمی‌تر
2.4.6-p15 و قدیمی‌تر
در Adobe Commerce، شاخه‌های 2.4.5 تا p17 و 2.4.4 تا p18 نیز در فهرست سازنده هستند.
✅ اصلاحیه امنیتی ژوئیه APSB26-73 را برای شاخه خود نصب کنید.
برای نصب بسته مستقل، ابتدا به نسخه پایه فهرست‌شده در همان شاخه برسید؛ سپس فایل اصلاحیه متناسب با هر مؤلفه نصب‌شده را اعمال کنید. ارتقا به نسخه پایه به‌تنهایی کافی نیست.
در نسخه Cloud، ابتدا بررسی کنید اصلاحیه با به‌روزرسانی cloud-patches نصب نشده باشد. پوشش اصلاحیه را با Commerce Version Tool بررسی کنید.
راهنمای رسمی و بسته‌ها:
https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-37421
اطلاعیه:
https://www.adobe.com/trust/security/products/commerce/apsb26-73.html
~~~~
✅ @WebBanSecurity
نقص بحرانی CVE-2026-48356 با امتیاز 9.6، امکان بارگذاری فایل خطرناک بدون ورود را فراهم می‌کند. بهره‌برداری به تعامل کاربر نیاز دارد و می‌تواند به افزایش دسترسی یا اجرای کد منجر شود.
CISA سوءاستفاده فعال را در ۲۷ اکتبر ۲۰۲۶ تأیید کرده است.
متأثر در صورت نصب نبودن اصلاحیه:
2.4.9
2.4.8-p5 و قدیمی‌تر
2.4.7-p10 و قدیمی‌تر
2.4.6-p15 و قدیمی‌تر
در Adobe Commerce، شاخه‌های 2.4.5 تا p17 و 2.4.4 تا p18 نیز در فهرست سازنده هستند.
✅ اصلاحیه امنیتی ژوئیه APSB26-73 را برای شاخه خود نصب کنید.
برای نصب بسته مستقل، ابتدا به نسخه پایه فهرست‌شده در همان شاخه برسید؛ سپس فایل اصلاحیه متناسب با هر مؤلفه نصب‌شده را اعمال کنید. ارتقا به نسخه پایه به‌تنهایی کافی نیست.
در نسخه Cloud، ابتدا بررسی کنید اصلاحیه با به‌روزرسانی cloud-patches نصب نشده باشد. پوشش اصلاحیه را با Commerce Version Tool بررسی کنید.
راهنمای رسمی و بسته‌ها:
https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-37421
اطلاعیه:
https://www.adobe.com/trust/security/products/commerce/apsb26-73.html
~~~~
✅ @WebBanSecurity
👍2
هشدار Tailscale SSH — TS-2026-014
نسخه‌های پیش از 1.104.4 با SSH و فورواردینگ مجاز: کاربر مجاز می‌تواند به سوکت‌های مخصوص root دسترسی بگیرد.
فوراً به 1.104.4 یا بالاتر ارتقا دهید.
منبع:
https://tailscale.com/security-bulletins#ts-2026-014
~~~~
✅ @WebBanSecurity
نسخه‌های پیش از 1.104.4 با SSH و فورواردینگ مجاز: کاربر مجاز می‌تواند به سوکت‌های مخصوص root دسترسی بگیرد.
فوراً به 1.104.4 یا بالاتر ارتقا دهید.
منبع:
https://tailscale.com/security-bulletins#ts-2026-014
~~~~
✅ @WebBanSecurity
👍2
هشدار Tailscale Serve — TS-2026-016
نسخه‌های پیش از 1.104.4 با بک‌اند Unix: امکان تغییر تنظیمات Serve یا مسیر بک‌اند توسط کاربر محلی می‌تواند به تصاحب گره منجر شود.
فوراً به 1.104.4 یا بالاتر ارتقا دهید.
منبع:
https://tailscale.com/security-bulletins#ts-2026-016
~~~~
✅ @WebBanSecurity
نسخه‌های پیش از 1.104.4 با بک‌اند Unix: امکان تغییر تنظیمات Serve یا مسیر بک‌اند توسط کاربر محلی می‌تواند به تصاحب گره منجر شود.
فوراً به 1.104.4 یا بالاتر ارتقا دهید.
منبع:
https://tailscale.com/security-bulletins#ts-2026-016
~~~~
✅ @WebBanSecurity
👍2
🚨 نقص بحرانی در Drupal
CVE-2026-108097 می‌تواند با ترکیب Field UI و ماژول‌های افزوده یا کد سفارشی، اجرای کد روی سرور را ممکن کند؛ بعضی مسیرها نیاز به ورود ندارند.
متأثر:
8.9.0 تا پیش از 10.6.19
11.0.0 تا پیش از 11.3.19
11.4.0 تا پیش از 11.4.10
12.0.0-alpha1 تا پیش از 12.0.0-beta2
✅ نسخه اصلاح‌شده شاخه خود را نصب کنید:
10.6.19 / 11.3.19 / 11.4.10
شاخه‌های بدون پشتیبانی را مهاجرت دهید.
✅ تا زمان ارتقا، ماژول field_ui را حذف نصب کنید.
سوءاستفاده فعال تأیید نشده است.
انتشار: ۱۴ اکتبر ۲۰۲۶
منبع:
https://www.drupal.org/sa-core-2026-014
~~~~
✅ @WebBanSecurity
CVE-2026-108097 می‌تواند با ترکیب Field UI و ماژول‌های افزوده یا کد سفارشی، اجرای کد روی سرور را ممکن کند؛ بعضی مسیرها نیاز به ورود ندارند.
متأثر:
8.9.0 تا پیش از 10.6.19
11.0.0 تا پیش از 11.3.19
11.4.0 تا پیش از 11.4.10
12.0.0-alpha1 تا پیش از 12.0.0-beta2
✅ نسخه اصلاح‌شده شاخه خود را نصب کنید:
10.6.19 / 11.3.19 / 11.4.10
شاخه‌های بدون پشتیبانی را مهاجرت دهید.
✅ تا زمان ارتقا، ماژول field_ui را حذف نصب کنید.
سوءاستفاده فعال تأیید نشده است.
انتشار: ۱۴ اکتبر ۲۰۲۶
منبع:
https://www.drupal.org/sa-core-2026-014
~~~~
✅ @WebBanSecurity
👍2
🚨 نقص مورد سوءاستفاده در هسته وردپرس
CVE-2026-87902 با امتیاز 9.2 می‌تواند بدون ورود، فایل PHP محلی را بارگذاری کند و در شرایط مشخص قالب و سرور، باعث اجرای کد شود.
نسخه‌های فاقد وصله در شاخه‌های 4.7 تا 7.1 متأثرند.
✅ وردپرس را به 7.1.2 یا جدیدتر ارتقا دهید. برای ماندن روی شاخه قدیمی، نسخه اصلاح‌شده همان شاخه را از جدول رسمی انتخاب کنید.
انتشار اصلاحیه: ۲۲ سپتامبر ۲۰۲۶
گزارش سوءاستفاده فعال: ۲۴ سپتامبر ۲۰۲۶
منبع و جدول نسخه‌ها:
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp
~~~~
✅ @WebBanSecurity
CVE-2026-87902 با امتیاز 9.2 می‌تواند بدون ورود، فایل PHP محلی را بارگذاری کند و در شرایط مشخص قالب و سرور، باعث اجرای کد شود.
نسخه‌های فاقد وصله در شاخه‌های 4.7 تا 7.1 متأثرند.
✅ وردپرس را به 7.1.2 یا جدیدتر ارتقا دهید. برای ماندن روی شاخه قدیمی، نسخه اصلاح‌شده همان شاخه را از جدول رسمی انتخاب کنید.
انتشار اصلاحیه: ۲۲ سپتامبر ۲۰۲۶
گزارش سوءاستفاده فعال: ۲۴ سپتامبر ۲۰۲۶
منبع و جدول نسخه‌ها:
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp
~~~~
✅ @WebBanSecurity
👍3
🚨 خطر دور زدن احراز هویت در Laravel
نقص CVE-2026-114509 با امتیاز 9.2، در TokenGuard داخلی و برخی تنظیمات MySQL/MariaDB می‌تواند ورود به حساب کاربر دیگر را بدون داشتن توکن معتبر ممکن کند.
نسخه‌های متأثر:
شاخه 12 پیش از 12.68.0
شاخه 13 پیش از 13.29.0
✅ بسته laravel/framework را در شاخه خود به 12.68.0 یا 13.29.0 یا نسخه جدیدتر اصلاح‌شده ارتقا دهید.
این هشدار مختص پیکربندی آسیب‌پذیر TokenGuard است؛ به معنی آسیب‌پذیری همه روش‌های ورود Laravel نیست.
سوءاستفاده فعال در اطلاعیه تأیید نشده است.
انتشار: ۱۹ اکتبر ۲۰۲۶
منبع:
https://github.com/laravel/framework/security/advisories/GHSA-f9x3-7vq9-cph6
~~~~
✅ @WebBanSecurity
نقص CVE-2026-114509 با امتیاز 9.2، در TokenGuard داخلی و برخی تنظیمات MySQL/MariaDB می‌تواند ورود به حساب کاربر دیگر را بدون داشتن توکن معتبر ممکن کند.
نسخه‌های متأثر:
شاخه 12 پیش از 12.68.0
شاخه 13 پیش از 13.29.0
✅ بسته laravel/framework را در شاخه خود به 12.68.0 یا 13.29.0 یا نسخه جدیدتر اصلاح‌شده ارتقا دهید.
این هشدار مختص پیکربندی آسیب‌پذیر TokenGuard است؛ به معنی آسیب‌پذیری همه روش‌های ورود Laravel نیست.
سوءاستفاده فعال در اطلاعیه تأیید نشده است.
انتشار: ۱۹ اکتبر ۲۰۲۶
منبع:
https://github.com/laravel/framework/security/advisories/GHSA-f9x3-7vq9-cph6
~~~~
✅ @WebBanSecurity
👍2
⚠️ وصله تزریق دستور IMAP در Roundcube برای cPanel
اگر از Roundcube شاخه 1.6 با نسخه پایین‌تر از 1.6.20 استفاده می‌کنید، به‌روزرسانی کنید. نقص برطرف‌شده امکان تزریق دستور در ارتباط IMAP وب‌میل را فراهم می‌کند.
✅ نسخه اصلاح‌شده شاخه cPanel خود یا جدیدتر را نصب کنید:
138.0.19
136.0.51
134.0.67
110.0.154
✅ پس از به‌روزرسانی، بررسی کنید Roundcube حداقل نسخه 1.6.20 باشد.
تغییرات رسمی cPanel مورخ ۲۶ اکتبر ۲۰۲۶، اصلاح CPANEL-57939 را ثبت کرده‌اند؛ مقاله پشتیبانی هنوز با این اطلاعات هماهنگ نیست.
سوءاستفاده فعال در اطلاعیه بررسی‌شده تأیید نشده است.
منابع:
https://docs.cpanel.net/changelogs/138-change-log/
https://docs.cpanel.net/changelogs/136-change-log/
https://docs.cpanel.net/changelogs/134-change-log/
https://docs.cpanel.net/changelogs/110-change-log/
https://roundcube.net/news/2026/10/19/security-updates-1.6.20-and-1.7.5
~~~~
✅ @WebBanSecurity
اگر از Roundcube شاخه 1.6 با نسخه پایین‌تر از 1.6.20 استفاده می‌کنید، به‌روزرسانی کنید. نقص برطرف‌شده امکان تزریق دستور در ارتباط IMAP وب‌میل را فراهم می‌کند.
✅ نسخه اصلاح‌شده شاخه cPanel خود یا جدیدتر را نصب کنید:
138.0.19
136.0.51
134.0.67
110.0.154
✅ پس از به‌روزرسانی، بررسی کنید Roundcube حداقل نسخه 1.6.20 باشد.
تغییرات رسمی cPanel مورخ ۲۶ اکتبر ۲۰۲۶، اصلاح CPANEL-57939 را ثبت کرده‌اند؛ مقاله پشتیبانی هنوز با این اطلاعات هماهنگ نیست.
سوءاستفاده فعال در اطلاعیه بررسی‌شده تأیید نشده است.
منابع:
https://docs.cpanel.net/changelogs/138-change-log/
https://docs.cpanel.net/changelogs/136-change-log/
https://docs.cpanel.net/changelogs/134-change-log/
https://docs.cpanel.net/changelogs/110-change-log/
https://roundcube.net/news/2026/10/19/security-updates-1.6.20-and-1.7.5
~~~~
✅ @WebBanSecurity
👍2
⚠️ اصلاحیه امنیتی جدید Plesk منتشر شد
۲۸ اکتبر ۲۰۲۶ | CVE-2026-111497
نقص Brotli هنگام بازکردن داده فشرده مخرب می‌تواند باعث افشای حافظه، توقف سرویس یا احتمالاً اجرای کد شود. CISA بهره‌برداری از این نقص را تأیید کرده؛ حمله مشخص به Plesk تأیید نشده است.
مدیران Plesk با اجزای Brotli آسیب‌پذیر، به‌روزرسانی امروز را نصب کنند:
• شاخه 18.0.82: Update 1
• شاخه 18.0.81: Update 6
این اصلاحیه، Brotli مربوط به nginx در لینوکس و PHP داخلی plesk-engine در ویندوز را به 1.2.1 ارتقا می‌دهد.
از مسیر Tools & Settings > Updates، به بخش Update Components بروید و به‌روزرسانی‌های موجود را نصب کنید.
منبع:
https://docs.plesk.com/release-notes/obsidian/change-log/
~~~~
✅ @WebBanSecurity
۲۸ اکتبر ۲۰۲۶ | CVE-2026-111497
نقص Brotli هنگام بازکردن داده فشرده مخرب می‌تواند باعث افشای حافظه، توقف سرویس یا احتمالاً اجرای کد شود. CISA بهره‌برداری از این نقص را تأیید کرده؛ حمله مشخص به Plesk تأیید نشده است.
مدیران Plesk با اجزای Brotli آسیب‌پذیر، به‌روزرسانی امروز را نصب کنند:
• شاخه 18.0.82: Update 1
• شاخه 18.0.81: Update 6
این اصلاحیه، Brotli مربوط به nginx در لینوکس و PHP داخلی plesk-engine در ویندوز را به 1.2.1 ارتقا می‌دهد.
از مسیر Tools & Settings > Updates، به بخش Update Components بروید و به‌روزرسانی‌های موجود را نصب کنید.
منبع:
https://docs.plesk.com/release-notes/obsidian/change-log/
~~~~
✅ @WebBanSecurity
👍1
🚨 نقص مورد سوءاستفاده در افزونه Collabora برای Nextcloud
CVE-2026-110447 | بحرانی، امتیاز 9.2
افزونه Collabora Online - Built-in CODE Server با شناسه richdocumentscode، پیش از نسخه 26.4.303 آسیب‌پذیر است.
هنگام توقف CODE، مثلاً پس از خرابی یا حین راه‌اندازی مجدد، مهاجم بدون ورود می‌تواند دستور با دسترسی کاربر وب‌سرور اجرا کند.
✅ افزونه را به 26.4.303 یا جدیدتر ارتقا دهید یا حذف کنید؛ غیرفعال‌کردن کافی نیست.
✅ در Nextcloud نسخه 29 و قدیمی‌تر، Nextcloud را ارتقا دهید یا افزونه را حذف کنید.
سرور مستقل Collabora متأثر نیست.
انتشار اطلاعیه: ۱۴ اکتبر ۲۰۲۶
ثبت در فهرست سوءاستفاده CISA: ۲۳ اکتبر ۲۰۲۶
منبع:
https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh
~~~~
✅ @WebBanSecurity
CVE-2026-110447 | بحرانی، امتیاز 9.2
افزونه Collabora Online - Built-in CODE Server با شناسه richdocumentscode، پیش از نسخه 26.4.303 آسیب‌پذیر است.
هنگام توقف CODE، مثلاً پس از خرابی یا حین راه‌اندازی مجدد، مهاجم بدون ورود می‌تواند دستور با دسترسی کاربر وب‌سرور اجرا کند.
✅ افزونه را به 26.4.303 یا جدیدتر ارتقا دهید یا حذف کنید؛ غیرفعال‌کردن کافی نیست.
✅ در Nextcloud نسخه 29 و قدیمی‌تر، Nextcloud را ارتقا دهید یا افزونه را حذف کنید.
سرور مستقل Collabora متأثر نیست.
انتشار اطلاعیه: ۱۴ اکتبر ۲۰۲۶
ثبت در فهرست سوءاستفاده CISA: ۲۳ اکتبر ۲۰۲۶
منبع:
https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh
~~~~
✅ @WebBanSecurity
👍1
⚠️ نقص بحرانی در قالب Rhodos وردپرس
CVE-2026-112858 | امتیاز 9.8
متأثر: نسخه 1.3.3 و قدیمی‌تر
مهاجم بدون ورود می‌تواند با داده دستکاری‌شده، پردازش اشیای PHP را تحت‌تأثیر قرار دهد و عملیات مخرب روی سرور ایجاد کند. سوءاستفاده فعال یا مسیر عملی اجرای کد تأیید نشده است.
✅ قانون محافظتی مخصوص این نقص را در Patchstack اعمال کنید؛ یا قالب دیگری فعال و Rhodos را حذف کنید.
نسخه اصلاح‌شده مخصوص این CVE هنوز تأیید نشده است. سازنده در نسخه 1.5.4 تغییر امنیتی مرتبط ثبت کرده، اما شماره این نقص را ذکر نکرده است.
انتشار اطلاعیه: ۲۱ اکتبر ۲۰۲۶
منبع و راهکار محافظتی:
https://patchstack.com/database/wordpress/theme/rhodos/vulnerability/wordpress-rhodos-theme-1-3-3-php-object-injection-vulnerability
~~~~
✅ @WebBanSecurity
CVE-2026-112858 | امتیاز 9.8
متأثر: نسخه 1.3.3 و قدیمی‌تر
مهاجم بدون ورود می‌تواند با داده دستکاری‌شده، پردازش اشیای PHP را تحت‌تأثیر قرار دهد و عملیات مخرب روی سرور ایجاد کند. سوءاستفاده فعال یا مسیر عملی اجرای کد تأیید نشده است.
✅ قانون محافظتی مخصوص این نقص را در Patchstack اعمال کنید؛ یا قالب دیگری فعال و Rhodos را حذف کنید.
نسخه اصلاح‌شده مخصوص این CVE هنوز تأیید نشده است. سازنده در نسخه 1.5.4 تغییر امنیتی مرتبط ثبت کرده، اما شماره این نقص را ذکر نکرده است.
انتشار اطلاعیه: ۲۱ اکتبر ۲۰۲۶
منبع و راهکار محافظتی:
https://patchstack.com/database/wordpress/theme/rhodos/vulnerability/wordpress-rhodos-theme-1-3-3-php-object-injection-vulnerability
~~~~
✅ @WebBanSecurity
🚨 خطر تصاحب حساب مدیر وردپرس
افزونه Bot for Telegram on WooCommerce نسخه 1.3.0 و قدیمی‌تر، دارای نقص بحرانی CVE-2026-109516 با امتیاز 9.8 است.
مهاجم بدون ورود و با دانستن نام کاربری می‌تواند حساب کاربران، حتی مدیر سایت، را تصاحب کند.
✅ اصلاحیه شناخته‌شده‌ای موجود نیست؛ افزونه را فوراً غیرفعال و حذف کنید و جایگزین مناسبی انتخاب کنید.
سوءاستفاده فعال تأیید نشده است.
انتشار: ۲۸ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/bot-for-telegram-on-woocommerce/bot-for-telegram-on-woocommerce-130-unauthenticated-authentication-bypass-to-account-takeover-via-fake-telegram-webhook-brute-forced-login-token
~~~~
✅ @WebBanSecurity
افزونه Bot for Telegram on WooCommerce نسخه 1.3.0 و قدیمی‌تر، دارای نقص بحرانی CVE-2026-109516 با امتیاز 9.8 است.
مهاجم بدون ورود و با دانستن نام کاربری می‌تواند حساب کاربران، حتی مدیر سایت، را تصاحب کند.
✅ اصلاحیه شناخته‌شده‌ای موجود نیست؛ افزونه را فوراً غیرفعال و حذف کنید و جایگزین مناسبی انتخاب کنید.
سوءاستفاده فعال تأیید نشده است.
انتشار: ۲۸ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/bot-for-telegram-on-woocommerce/bot-for-telegram-on-woocommerce-130-unauthenticated-authentication-bypass-to-account-takeover-via-fake-telegram-webhook-brute-forced-login-token
~~~~
✅ @WebBanSecurity
👍1
🚨 اصلاحیه بحرانی Veeam Backup & Replication
نقص CVE-2026-108142 با امتیاز 9.1، دور زدن مجوزهای سرویس CDP Coordinator را بدون ورود ممکن می‌کند و می‌تواند یکپارچگی و دسترس‌پذیری را تهدید کند.
نسخه‌های ویندوزی و Veeam Software Appliance متأثرند:
• شاخه 13.1 تا 13.1.1.18
• شاخه 13.0 تا 13.0.2.29
✅ نسخه اصلاح‌شده شاخه خود را نصب کنید:
• 13.1.2.57
• 13.0.3.63
نسخه‌های 12.x متأثر نیستند.
سوءاستفاده فعال در اطلاعیه تأیید نشده است.
انتشار: ۲۷ اکتبر ۲۰۲۶
منبع:
https://www.veeam.com/kb4948
~~~~
✅ @WebBanSecurity
نقص CVE-2026-108142 با امتیاز 9.1، دور زدن مجوزهای سرویس CDP Coordinator را بدون ورود ممکن می‌کند و می‌تواند یکپارچگی و دسترس‌پذیری را تهدید کند.
نسخه‌های ویندوزی و Veeam Software Appliance متأثرند:
• شاخه 13.1 تا 13.1.1.18
• شاخه 13.0 تا 13.0.2.29
✅ نسخه اصلاح‌شده شاخه خود را نصب کنید:
• 13.1.2.57
• 13.0.3.63
نسخه‌های 12.x متأثر نیستند.
سوءاستفاده فعال در اطلاعیه تأیید نشده است.
انتشار: ۲۷ اکتبر ۲۰۲۶
منبع:
https://www.veeam.com/kb4948
~~~~
✅ @WebBanSecurity
👍1
⚠️ خطر تصاحب حساب از طریق ورود پیامکی وردپرس
افزونه SSL Wireless SMS Notification نسخه 3.8.1 و قدیمی‌تر، دارای نقص CVE-2026-96228 با امتیاز 8.1 است.
مهاجم با دانستن شماره تلفن متصل به حساب می‌تواند بدون تأیید رمز یک‌بارمصرف پیامکی، آن حساب را تصاحب کند.
✅ اصلاحیه شناخته‌شده‌ای موجود نیست؛ افزونه را فوراً غیرفعال و حذف کنید و از روش ورود امن دیگری استفاده کنید.
سوءاستفاده فعال تأیید نشده است.
انتشار: ۲۸ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/ssl-wireless-sms-notification/ssl-wireless-sms-notification-381-unauthenticated-authentication-bypass-to-account-takeover
~~~~
✅ @WebBanSecurity
افزونه SSL Wireless SMS Notification نسخه 3.8.1 و قدیمی‌تر، دارای نقص CVE-2026-96228 با امتیاز 8.1 است.
مهاجم با دانستن شماره تلفن متصل به حساب می‌تواند بدون تأیید رمز یک‌بارمصرف پیامکی، آن حساب را تصاحب کند.
✅ اصلاحیه شناخته‌شده‌ای موجود نیست؛ افزونه را فوراً غیرفعال و حذف کنید و از روش ورود امن دیگری استفاده کنید.
سوءاستفاده فعال تأیید نشده است.
انتشار: ۲۸ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/ssl-wireless-sms-notification/ssl-wireless-sms-notification-381-unauthenticated-authentication-bypass-to-account-takeover
~~~~
✅ @WebBanSecurity
👍1
⚠️ خطر افشای پایگاه داده در SendPress Newsletters
CVE-2026-93855 | شدت بالا، امتیاز 7.5
متأثر: نسخه 1.26.1.20 و قدیمی‌تر
نقص تزریق SQL می‌تواند بدون ورود، اطلاعات حساس پایگاه داده را افشا کند. در صفحه عمومی مدیریت اشتراک، کد محافظ درخواست نیز در دسترس بازدیدکننده قرار می‌گیرد.
✅ اصلاحیه شناخته‌شده‌ای موجود نیست؛ افزونه را غیرفعال و حذف کنید و جایگزین امن انتخاب کنید.
سوءاستفاده فعال تأیید نشده است.
انتشار: ۲۸ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/sendpress/sendpress-newsletters-126120-unauthenticated-sql-injection-via-subscriberid-parameter
~~~~
✅ @WebBanSecurity
CVE-2026-93855 | شدت بالا، امتیاز 7.5
متأثر: نسخه 1.26.1.20 و قدیمی‌تر
نقص تزریق SQL می‌تواند بدون ورود، اطلاعات حساس پایگاه داده را افشا کند. در صفحه عمومی مدیریت اشتراک، کد محافظ درخواست نیز در دسترس بازدیدکننده قرار می‌گیرد.
✅ اصلاحیه شناخته‌شده‌ای موجود نیست؛ افزونه را غیرفعال و حذف کنید و جایگزین امن انتخاب کنید.
سوءاستفاده فعال تأیید نشده است.
انتشار: ۲۸ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/sendpress/sendpress-newsletters-126120-unauthenticated-sql-injection-via-subscriberid-parameter
~~~~
✅ @WebBanSecurity
👍1
⚠️ نقص تزریق SQL در Social Web Suite وردپرس
CVE-2026-93904 | شدت بالا، امتیاز 7.5
متأثر: نسخه 4.1.12 و قدیمی‌تر
این نقص می‌تواند اطلاعات حساس پایگاه داده را افشا کند. در نصب تازه‌فعال‌شده‌ای که مدیر هنوز صفحه تنظیمات را باز نکرده، کلید احراز هویت خالی است و مهاجم می‌تواند بدون ورود از مسیر آسیب‌پذیر استفاده کند.
✅ اصلاحیه شناخته‌شده‌ای موجود نیست؛ افزونه را غیرفعال و حذف کنید. صرف بازکردن تنظیمات، اصلاح خود نقص SQL نیست.
سوءاستفاده فعال تأیید نشده است.
انتشار: ۲۸ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/social-web-suite/social-web-suite-4112-unauthenticated-sql-injection-via-exclude-posts-parameter
~~~~
✅ @WebBanSecurity
CVE-2026-93904 | شدت بالا، امتیاز 7.5
متأثر: نسخه 4.1.12 و قدیمی‌تر
این نقص می‌تواند اطلاعات حساس پایگاه داده را افشا کند. در نصب تازه‌فعال‌شده‌ای که مدیر هنوز صفحه تنظیمات را باز نکرده، کلید احراز هویت خالی است و مهاجم می‌تواند بدون ورود از مسیر آسیب‌پذیر استفاده کند.
✅ اصلاحیه شناخته‌شده‌ای موجود نیست؛ افزونه را غیرفعال و حذف کنید. صرف بازکردن تنظیمات، اصلاح خود نقص SQL نیست.
سوءاستفاده فعال تأیید نشده است.
انتشار: ۲۸ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/social-web-suite/social-web-suite-4112-unauthenticated-sql-injection-via-exclude-posts-parameter
~~~~
✅ @WebBanSecurity
👍2
🚨 اصلاحیه بحرانی PHP2Shell برای NetScaler
CVE-2026-109618 / CVE-2026-109619
شدت بحرانی | امتیاز 9.2
رابط مدیریت نسخه‌های وصله‌نشده NetScaler ADC و Gateway می‌تواند اجرای کد بدون ورود را ممکن کند.
✅ نسخه اصلاح‌شده شاخه خود یا جدیدتر را نصب کنید:
14.1: 14.1-73.49
13.1: 13.1-64.32
14.1-FIPS: 14.1-73.49 FIPS
13.1-FIPS / NDcPP: 13.1.37.286
✅ دسترسی مدیریت NSIP، آدرس‌های SNIP دارای مدیریت و Cluster IP را از اینترنت ببندید و فقط به شبکه مدیریتی مورداعتماد اجازه دهید.
بهره‌برداری از PHP2Shell تأیید شده، اما حمله مشخص به NetScaler در اطلاعیه Citrix تأیید نشده است.
به‌روزرسانی راهنمای اصلاح: ۲۷ اکتبر ۲۰۲۶
منبع:
https://support.citrix.com/external/article/CTX697263
~~~~
✅ @WebBanSecurity
CVE-2026-109618 / CVE-2026-109619
شدت بحرانی | امتیاز 9.2
رابط مدیریت نسخه‌های وصله‌نشده NetScaler ADC و Gateway می‌تواند اجرای کد بدون ورود را ممکن کند.
✅ نسخه اصلاح‌شده شاخه خود یا جدیدتر را نصب کنید:
14.1: 14.1-73.49
13.1: 13.1-64.32
14.1-FIPS: 14.1-73.49 FIPS
13.1-FIPS / NDcPP: 13.1.37.286
✅ دسترسی مدیریت NSIP، آدرس‌های SNIP دارای مدیریت و Cluster IP را از اینترنت ببندید و فقط به شبکه مدیریتی مورداعتماد اجازه دهید.
بهره‌برداری از PHP2Shell تأیید شده، اما حمله مشخص به NetScaler در اطلاعیه Citrix تأیید نشده است.
به‌روزرسانی راهنمای اصلاح: ۲۷ اکتبر ۲۰۲۶
منبع:
https://support.citrix.com/external/article/CTX697263
~~~~
✅ @WebBanSecurity
👍2