🚨 هشدار فوری Rank Math PRO
وجود بدافزار در برخی بسته‌های نسخه 3.0.123 تأیید شده است.
بازه دانلود یا به‌روزرسانی مشکوک به وقت ایران: از ۱۵ اکتبر ۲۰۲۶، ساعت ۲۳:۳۲ تا ۱۶ اکتبر، ساعت ۱۰:۴۲
اگر بسته آلوده فعال شده، صرفاً آپدیت‌کردن کافی نیست:
✅ فایل‌ها و دیتابیس را از بکاپ سالمِ قبل از این بازه بازیابی کنید، اسکن امنیتی انجام دهید، رمزها و کلیدهای دسترسی را تعویض و نسخه پاک 3.0.124 را از حساب رسمی Rank Math نصب کنید.
✅ اگر بکاپ سالم ندارید، برای پاک‌سازی تخصصی اقدام کنید.
اگر افزونه نصب شده ولی هرگز فعال نشده، فایل‌های آن را حذف، نسخه پاک را نصب و سایت را اسکن کنید.
داشتن نسخه 3.0.123 به‌تنهایی اثبات آلودگی نیست.
راهنمای رسمی: https://rankmath.com/kb/pro-3-0-123-security-incident/
وجود بدافزار در برخی بسته‌های نسخه 3.0.123 تأیید شده است.
بازه دانلود یا به‌روزرسانی مشکوک به وقت ایران: از ۱۵ اکتبر ۲۰۲۶، ساعت ۲۳:۳۲ تا ۱۶ اکتبر، ساعت ۱۰:۴۲
اگر بسته آلوده فعال شده، صرفاً آپدیت‌کردن کافی نیست:
✅ فایل‌ها و دیتابیس را از بکاپ سالمِ قبل از این بازه بازیابی کنید، اسکن امنیتی انجام دهید، رمزها و کلیدهای دسترسی را تعویض و نسخه پاک 3.0.124 را از حساب رسمی Rank Math نصب کنید.
✅ اگر بکاپ سالم ندارید، برای پاک‌سازی تخصصی اقدام کنید.
اگر افزونه نصب شده ولی هرگز فعال نشده، فایل‌های آن را حذف، نسخه پاک را نصب و سایت را اسکن کنید.
داشتن نسخه 3.0.123 به‌تنهایی اثبات آلودگی نیست.
راهنمای رسمی: https://rankmath.com/kb/pro-3-0-123-security-incident/
از خطر باخبر شوید، به‌موقع اقدام کنید.
✅ @WebBanSecurity
👍2
🔔 هشدار به کاربران ConnectWise Cloud Backup / SkyKick
دسترسی غیرمجاز به هویت‌های برنامه‌ای تأیید شده و سرویس‌های مرتبط، از جمله بکاپ و بازیابی، فعلاً متوقف‌اند.
✅ اتصال برنامه‌های اعلام‌شده را غیرفعال نگه دارید؛ لاگ‌های Microsoft 365 را حفظ و دسترسی‌ها، مجوزها و تنظیمات ایمیل را بررسی کنید.
✅ آخرین بکاپ موفق را بررسی کنید و تا دستور رسمی، اتصال را دوباره فعال نکنید.
دسترسی مهاجمان به آرشیوهای رمزگذاری‌شده تأیید نشده است.
راهنمای رسمی:
https://www.connectwise.com/company/trust/advisories
~~~~
از خطر باخبر شوید، به‌موقع اقدام کنید.
✅ @WebBanSecurity
دسترسی غیرمجاز به هویت‌های برنامه‌ای تأیید شده و سرویس‌های مرتبط، از جمله بکاپ و بازیابی، فعلاً متوقف‌اند.
✅ اتصال برنامه‌های اعلام‌شده را غیرفعال نگه دارید؛ لاگ‌های Microsoft 365 را حفظ و دسترسی‌ها، مجوزها و تنظیمات ایمیل را بررسی کنید.
✅ آخرین بکاپ موفق را بررسی کنید و تا دستور رسمی، اتصال را دوباره فعال نکنید.
دسترسی مهاجمان به آرشیوهای رمزگذاری‌شده تأیید نشده است.
راهنمای رسمی:
https://www.connectwise.com/company/trust/advisories
از خطر باخبر شوید، به‌موقع اقدام کنید.
✅ @WebBanSecurity
👍1😱1
🚨 هشدار امنیتی وردپرس و وب‌میل
🔴 UpdraftCentral ابری
استفاده مهاجمان از کلیدهای سرقت‌شده برای نصب درِ پشتی تأیید شده است.
✅ مستقیماً وارد پیشخوان هر سایت شوید؛ UpdraftPlus را به 1.26.12 رایگان یا 2.26.12 پریمیوم ارتقا دهید و کلیدهای قدیمی UpdraftCentral را حذف کنید.
✅ افزونه‌ها و کاربران غیرمجاز را بررسی و رمز مدیران را عوض کنید. آپدیت، آلودگی قبلی را پاک نمی‌کند.
✅ رمز و احراز هویت دومرحله‌ای حساب TeamUpdraft را بازنشانی کنید.
نسخه خودمیزبان UpdraftCentral مشمول این رخداد نیست.
🟠 Roundcube
اصلاحیه‌های امنیتی منتشر شده‌اند. شاخه 1.6 را به 1.6.20 و شاخه 1.7 را به 1.7.5 ارتقا دهید. اگر وب‌میل همراه کنترل‌پنل است، به‌روزرسانی رسمی ارائه‌دهنده را دریافت کنید.
سوءاستفاده فعال از این نقص‌های Roundcube در اطلاعیه تأیید نشده است.
~~~~
✅ @WebBanSecurity
🔴 UpdraftCentral ابری
استفاده مهاجمان از کلیدهای سرقت‌شده برای نصب درِ پشتی تأیید شده است.
✅ مستقیماً وارد پیشخوان هر سایت شوید؛ UpdraftPlus را به 1.26.12 رایگان یا 2.26.12 پریمیوم ارتقا دهید و کلیدهای قدیمی UpdraftCentral را حذف کنید.
✅ افزونه‌ها و کاربران غیرمجاز را بررسی و رمز مدیران را عوض کنید. آپدیت، آلودگی قبلی را پاک نمی‌کند.
✅ رمز و احراز هویت دومرحله‌ای حساب TeamUpdraft را بازنشانی کنید.
نسخه خودمیزبان UpdraftCentral مشمول این رخداد نیست.
🟠 Roundcube
اصلاحیه‌های امنیتی منتشر شده‌اند. شاخه 1.6 را به 1.6.20 و شاخه 1.7 را به 1.7.5 ارتقا دهید. اگر وب‌میل همراه کنترل‌پنل است، به‌روزرسانی رسمی ارائه‌دهنده را دریافت کنید.
سوءاستفاده فعال از این نقص‌های Roundcube در اطلاعیه تأیید نشده است.
~~~~
✅ @WebBanSecurity
👍1🤔1
وب‌بان | امنیت وب و سرور
🚨 هشدار امنیتی وردپرس و وب‌میل 🔴 UpdraftCentral ابری استفاده مهاجمان از کلیدهای سرقت‌شده برای نصب درِ پشتی تأیید شده است. ✅ مستقیماً وارد پیشخوان هر سایت شوید؛ UpdraftPlus را به 1.26.12 رایگان یا 2.26.12 پریمیوم ارتقا دهید و کلیدهای قدیمی UpdraftCentral…
🔔 وضعیت اصلاحیه امنیتی Roundcube در cPanel
تا بررسی امروز، ۲۰ اکتبر ۲۰۲۶، انتشار نسخه 1.6.20 یا اعمال اصلاحیه‌های امنیتی ۱۹ اکتبر در بسته‌های cPanel، در منابع عمومی این شرکت تأیید نشده است.
آخرین ارتقای مستندشده cPanel به Roundcube 1.6.19 مربوط است که اصلاحیه‌های قبلی را پوشش می‌دهد؛ بنابراین صرفاً به‌روز بودن cPanel، تأیید رفع نقص‌های جدید نیست.
✅ مدیران سرور، وضعیت بسته اصلاح‌شده و زمان ارائه آن برای شاخه نسخه خود را از پشتیبانی cPanel پیگیری کنند.
⚠️ فایل‌های Roundcube همراه cPanel را دستی با نسخه مستقل جایگزین نکنید.
تأیید نشدن عمومی، لزوماً به معنی نبود بسته اصلاح‌شده نیست؛ ممکن است مستندات با تأخیر به‌روزرسانی شوند.
~~~~
✅ @WebBanSecurity
تا بررسی امروز، ۲۰ اکتبر ۲۰۲۶، انتشار نسخه 1.6.20 یا اعمال اصلاحیه‌های امنیتی ۱۹ اکتبر در بسته‌های cPanel، در منابع عمومی این شرکت تأیید نشده است.
آخرین ارتقای مستندشده cPanel به Roundcube 1.6.19 مربوط است که اصلاحیه‌های قبلی را پوشش می‌دهد؛ بنابراین صرفاً به‌روز بودن cPanel، تأیید رفع نقص‌های جدید نیست.
✅ مدیران سرور، وضعیت بسته اصلاح‌شده و زمان ارائه آن برای شاخه نسخه خود را از پشتیبانی cPanel پیگیری کنند.
⚠️ فایل‌های Roundcube همراه cPanel را دستی با نسخه مستقل جایگزین نکنید.
تأیید نشدن عمومی، لزوماً به معنی نبود بسته اصلاح‌شده نیست؛ ممکن است مستندات با تأخیر به‌روزرسانی شوند.
~~~~
✅ @WebBanSecurity
🤔3
🚨 هشدار امنیتی وب | ۲۱ اکتبر ۲۰۲۶
🔴 SiteGuard Server Edition
سوءاستفاده فعال از CVE-2026-106931 تأیید شده؛ نقص بخش آمار می‌تواند اجرای فرمان با دسترسی root یا SYSTEM را ممکن کند.
✅ پیش از اصلاح، «Diagnostic Information» را دانلود و نگهداری کنید.
نسخه‌های آسیب‌پذیر را به این نسخه‌ها ارتقا دهید:
• Apache / Nginx / IIS: نسخه 8.00 Update 5
• Apache / Nginx روی FreeBSD: نسخه 7.00 Update 6
اگر ارتقا ممکن نیست، وصله رسمی سازنده را دریافت کنید.
🔴 Laravel
اگر API از TokenGuard داخلی با MySQL یا MariaDB استفاده می‌کند، نقص بحرانی می‌تواند ورود به حساب دیگران بدون توکن معتبر را ممکن کند.
✅ شاخه 12 را به 12.68.0 و شاخه 13 را به 13.29.0 ارتقا دهید. برای شاخه‌های قدیمی‌تر، اصلاحیه‌ای در اطلاعیه معرفی نشده است؛ بررسی تخصصی لازم است.
🟠 PHP؛ آماده نصب اصلاحیه باشید
انتشار اصلاحیه دو نقص بحرانی برای امروز، ساعت ۱۷:۳۰ به وقت ایران برنامه‌ریزی شده و ممکن است زودتر انجام شود.
✅ نسخه‌های PHP سرورها را شناسایی و برای نصب فوری بسته اصلاح‌شده رسمی آماده شوید.
نسخه‌های دقیق آسیب‌پذیر و اصلاح‌شده هنوز اعلام نشده‌اند. سوءاستفاده فعال از این موارد PHP و Laravel در منابع بررسی‌شده تأیید نشده است.
اطلاعیه PHP:
https://www.php.net/archive/2026.php#2026-10-20-1
~~~~
✅ @WebBanSecurity
🔴 SiteGuard Server Edition
سوءاستفاده فعال از CVE-2026-106931 تأیید شده؛ نقص بخش آمار می‌تواند اجرای فرمان با دسترسی root یا SYSTEM را ممکن کند.
✅ پیش از اصلاح، «Diagnostic Information» را دانلود و نگهداری کنید.
نسخه‌های آسیب‌پذیر را به این نسخه‌ها ارتقا دهید:
• Apache / Nginx / IIS: نسخه 8.00 Update 5
• Apache / Nginx روی FreeBSD: نسخه 7.00 Update 6
اگر ارتقا ممکن نیست، وصله رسمی سازنده را دریافت کنید.
🔴 Laravel
اگر API از TokenGuard داخلی با MySQL یا MariaDB استفاده می‌کند، نقص بحرانی می‌تواند ورود به حساب دیگران بدون توکن معتبر را ممکن کند.
✅ شاخه 12 را به 12.68.0 و شاخه 13 را به 13.29.0 ارتقا دهید. برای شاخه‌های قدیمی‌تر، اصلاحیه‌ای در اطلاعیه معرفی نشده است؛ بررسی تخصصی لازم است.
🟠 PHP؛ آماده نصب اصلاحیه باشید
انتشار اصلاحیه دو نقص بحرانی برای امروز، ساعت ۱۷:۳۰ به وقت ایران برنامه‌ریزی شده و ممکن است زودتر انجام شود.
✅ نسخه‌های PHP سرورها را شناسایی و برای نصب فوری بسته اصلاح‌شده رسمی آماده شوید.
نسخه‌های دقیق آسیب‌پذیر و اصلاح‌شده هنوز اعلام نشده‌اند. سوءاستفاده فعال از این موارد PHP و Laravel در منابع بررسی‌شده تأیید نشده است.
اطلاعیه PHP:
https://www.php.net/archive/2026.php#2026-10-20-1
~~~~
✅ @WebBanSecurity
👍3
🚨 اصلاحیه اضطراری PHP منتشر شد؛ تلاش برای حمله مشاهده شده است
دو آسیب‌پذیری بحرانی با شناسه‌های زیر می‌توانند امکان اجرای کد از راه دور، بدون ورود به حساب، را فراهم کنند:
CVE-2026-109618
CVE-2026-109619
سایت‌های مبتنی بر PHP، از جمله وردپرس و لاراول، باید نسخه PHP سرور را بررسی کنند. استفاده از LiteSpeed نیز این خطر را برطرف نمی‌کند.
✅ نسخه‌های اصلاح‌شده:
PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12
🔹 مدیران cPanel: علاوه بر PHP در EasyApache، خود پنل را به نسخه اصلاح‌شده شاخه خود ارتقا دهید:
110.0.153 / 134.0.66 / 136.0.50 / 138.0.18
برای PHP 7.4، بسته ea-php74 در مخزن استاندارد cPanel با نسخه 7.4.33-19 و در مخزن EasyApache کلودلینوکس با نسخه 7.4.33-18 اصلاح شده است.
🔹 مدیران Plesk: علاوه بر PHP سایت‌ها، پنل را به 18.0.80 Update 11 یا 18.0.81 Update 4 ارتقا دهید.
اگر هاست اشتراکی دارید، از پشتیبانی بخواهید نصب اصلاحیه PHP را تأیید کند. به‌روزرسانی وردپرس یا افزونه‌ها به‌تنهایی کافی نیست؛ فایروال نیز جایگزین اصلاحیه نیست.
~~~~
✅ @WebBanSecurity
دو آسیب‌پذیری بحرانی با شناسه‌های زیر می‌توانند امکان اجرای کد از راه دور، بدون ورود به حساب، را فراهم کنند:
CVE-2026-109618
CVE-2026-109619
سایت‌های مبتنی بر PHP، از جمله وردپرس و لاراول، باید نسخه PHP سرور را بررسی کنند. استفاده از LiteSpeed نیز این خطر را برطرف نمی‌کند.
✅ نسخه‌های اصلاح‌شده:
PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12
🔹 مدیران cPanel: علاوه بر PHP در EasyApache، خود پنل را به نسخه اصلاح‌شده شاخه خود ارتقا دهید:
110.0.153 / 134.0.66 / 136.0.50 / 138.0.18
برای PHP 7.4، بسته ea-php74 در مخزن استاندارد cPanel با نسخه 7.4.33-19 و در مخزن EasyApache کلودلینوکس با نسخه 7.4.33-18 اصلاح شده است.
🔹 مدیران Plesk: علاوه بر PHP سایت‌ها، پنل را به 18.0.80 Update 11 یا 18.0.81 Update 4 ارتقا دهید.
اگر هاست اشتراکی دارید، از پشتیبانی بخواهید نصب اصلاحیه PHP را تأیید کند. به‌روزرسانی وردپرس یا افزونه‌ها به‌تنهایی کافی نیست؛ فایروال نیز جایگزین اصلاحیه نیست.
~~~~
✅ @WebBanSecurity
👍1🤔1
🚨 هشدار امنیتی سرورها | ۲۳ اکتبر ۲۰۲۶
🔴 PHP: بررسی لاگ‌ها را فراموش نکنید
آمازون تلاش برای سوءاستفاده از PHP2Shell را از ۱۷ اکتبر، پیش از انتشار عمومی، شناسایی کرده است؛ موفقیت این تلاش‌ها روی سرورهای واقعی تأیید نشده است.
✅ علاوه بر نصب اصلاحیه، لاگ‌های سرور را از حداقل ۱۷ اکتبر بررسی کنید؛ به تغییرات غیرمنتظره فایل‌ها و اجرای پردازش‌های مشکوک توجه کنید.
نسخه‌های اصلاح‌شده PHP:
8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
برای نسخه‌های قدیمی‌تر، نصب اصلاحیه اختصاصی ارائه‌دهنده را تأیید کنید.
🟠 Node.js: اصلاحیه امنیتی مهم
نقص CVE-2026-111497 در پردازش داده‌های فشرده Brotli می‌تواند اجرای کد مخرب را ممکن کند. سوءاستفاده فعال در اطلاعیه سازنده گزارش نشده است.
✅ نسخه اصلاح‌شده شاخه خود را نصب کنید:
22.23.4 / 24.22.1 / 26.12.1
در cPanel، بسته ea-nodejs22 را از طریق به‌روزرسانی EasyApache به 22.23.4 ارتقا دهید و برنامه‌های مربوط را مجدداً راه‌اندازی کنید.
~~~~
✅ @WebBanSecurity
🔴 PHP: بررسی لاگ‌ها را فراموش نکنید
آمازون تلاش برای سوءاستفاده از PHP2Shell را از ۱۷ اکتبر، پیش از انتشار عمومی، شناسایی کرده است؛ موفقیت این تلاش‌ها روی سرورهای واقعی تأیید نشده است.
✅ علاوه بر نصب اصلاحیه، لاگ‌های سرور را از حداقل ۱۷ اکتبر بررسی کنید؛ به تغییرات غیرمنتظره فایل‌ها و اجرای پردازش‌های مشکوک توجه کنید.
نسخه‌های اصلاح‌شده PHP:
8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
برای نسخه‌های قدیمی‌تر، نصب اصلاحیه اختصاصی ارائه‌دهنده را تأیید کنید.
🟠 Node.js: اصلاحیه امنیتی مهم
نقص CVE-2026-111497 در پردازش داده‌های فشرده Brotli می‌تواند اجرای کد مخرب را ممکن کند. سوءاستفاده فعال در اطلاعیه سازنده گزارش نشده است.
✅ نسخه اصلاح‌شده شاخه خود را نصب کنید:
22.23.4 / 24.22.1 / 26.12.1
در cPanel، بسته ea-nodejs22 را از طریق به‌روزرسانی EasyApache به 22.23.4 ارتقا دهید و برنامه‌های مربوط را مجدداً راه‌اندازی کنید.
~~~~
✅ @WebBanSecurity
👍2
⚠️ اطلاعیه امنیتی وردپرس و PHP
۱) افزونه LiteSpeed Cache
نسخه‌های پایین‌تر از 7.9.2 دارای نقص تزریق اسکریپت هستند که با تعامل کاربر دارای دسترسی بالا قابل سوءاستفاده است.
✅ افزونه را به 7.9.2 یا بالاتر ارتقا دهید.
CVE-2026-113499
۲) افزونه ACF Extended و نسخه Pro
نسخه 0.9.2.7 در شرایط خاصِ فرم‌های عمومی ویرایش کاربر، امکان تصاحب حساب مدیر را فراهم می‌کند.
✅ به نسخه 0.9.2.8 یا بالاتر ارتقا دهید.
CVE-2026-94268
۳) نقص جدید PHP
CVE-2026-115560 فقط با ترکیب خاصی از تنظیمات و تغییر روش پردازش نشست در کد برنامه قابل سوءاستفاده است؛ هنوز نسخه اصلاح‌شده اعلام نشده است.
✅ مدیر سرور در تنظیمات PHP، پیش از پردازش درخواست، این مقدار را اعمال و پردازش‌های مربوط را مجدداً راه‌اندازی کند:
session.upload_progress.enabled=0
این تغییر ممکن است نمایش پیشرفت آپلود را تحت تأثیر قرار دهد.
سوءاستفاده فعال از این سه مورد در اطلاعیه‌های بررسی‌شده تأیید نشده است.
~~~~
✅ @WebBanSecurity
۱) افزونه LiteSpeed Cache
نسخه‌های پایین‌تر از 7.9.2 دارای نقص تزریق اسکریپت هستند که با تعامل کاربر دارای دسترسی بالا قابل سوءاستفاده است.
✅ افزونه را به 7.9.2 یا بالاتر ارتقا دهید.
CVE-2026-113499
۲) افزونه ACF Extended و نسخه Pro
نسخه 0.9.2.7 در شرایط خاصِ فرم‌های عمومی ویرایش کاربر، امکان تصاحب حساب مدیر را فراهم می‌کند.
✅ به نسخه 0.9.2.8 یا بالاتر ارتقا دهید.
CVE-2026-94268
۳) نقص جدید PHP
CVE-2026-115560 فقط با ترکیب خاصی از تنظیمات و تغییر روش پردازش نشست در کد برنامه قابل سوءاستفاده است؛ هنوز نسخه اصلاح‌شده اعلام نشده است.
✅ مدیر سرور در تنظیمات PHP، پیش از پردازش درخواست، این مقدار را اعمال و پردازش‌های مربوط را مجدداً راه‌اندازی کند:
session.upload_progress.enabled=0
این تغییر ممکن است نمایش پیشرفت آپلود را تحت تأثیر قرار دهد.
سوءاستفاده فعال از این سه مورد در اطلاعیه‌های بررسی‌شده تأیید نشده است.
~~~~
✅ @WebBanSecurity
👍4🤔1
⚠️ به‌روزرسانی امنیتی Ruby
نقص‌های پردازش عبارت منظم می‌توانند در برنامه‌هایی که الگوی Regex را از ورودی غیرقابل‌اعتماد می‌سازند، به اجرای کد مخرب منجر شوند.
✅ Ruby را به نسخه اصلاح‌شده شاخه خود ارتقا دهید:
3.3.13 / 3.4.12 / 4.0.9
پس از ارتقا، برنامه‌های مربوط را مجدداً راه‌اندازی کنید.
تا زمان نصب اصلاحیه، از ساخت عبارت منظم با الگوی ارسالی کاربر جلوگیری کنید. تنظیم Regexp.timeout یا محدود کردن طول الگو، راهکار قابل‌اتکایی برای این نقص‌ها نیست.
سوءاستفاده فعال در اطلاعیه بررسی‌شده گزارش نشده است.
منبع:
https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/
~~~~
✅ @WebBanSecurity
نقص‌های پردازش عبارت منظم می‌توانند در برنامه‌هایی که الگوی Regex را از ورودی غیرقابل‌اعتماد می‌سازند، به اجرای کد مخرب منجر شوند.
✅ Ruby را به نسخه اصلاح‌شده شاخه خود ارتقا دهید:
3.3.13 / 3.4.12 / 4.0.9
پس از ارتقا، برنامه‌های مربوط را مجدداً راه‌اندازی کنید.
تا زمان نصب اصلاحیه، از ساخت عبارت منظم با الگوی ارسالی کاربر جلوگیری کنید. تنظیم Regexp.timeout یا محدود کردن طول الگو، راهکار قابل‌اتکایی برای این نقص‌ها نیست.
سوءاستفاده فعال در اطلاعیه بررسی‌شده گزارش نشده است.
منبع:
https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/
~~~~
✅ @WebBanSecurity
👍2
🚨 هشدار امنیتی کرنل لینوکس
ZDI-CAN-33367
این نقص می‌تواند به یک کاربر عادی روی سرور آسیب‌پذیر، دسترسی root بدهد. کد سوءاستفاده عمومی منتشر شده، اما سوءاستفاده فعال در اطلاعیه بررسی‌شده تأیید نشده است. CageFS مانع این نقص نیست.
✅ مدیران CloudLinux:
کرنل اصلاح‌شده برای نسخه‌های زیر در کانال‌های beta/rollout عرضه شده است:
CloudLinux 7 hybrid:
4.18.0-553.177.1.lve.1.el7h
CloudLinux 8:
4.18.0-553.177.1.lve.1.el8
پس از نصب، سرور را مجدداً راه‌اندازی و فعال بودن کرنل جدید را بررسی کنید.
⚠️ راهکار موقت پیشنهادی، تنظیم user.max_user_namespaces روی 0 است؛ این تغییر ممکن است کانتینرهای rootless را مختل کند و جایگزین نصب اصلاحیه نیست.
منابع:
https://blog.cloudlinux.com/zdi-can-33367
https://cloudlinux.statuspage.io/
~~~~
✅ @WebBanSecurity
ZDI-CAN-33367
این نقص می‌تواند به یک کاربر عادی روی سرور آسیب‌پذیر، دسترسی root بدهد. کد سوءاستفاده عمومی منتشر شده، اما سوءاستفاده فعال در اطلاعیه بررسی‌شده تأیید نشده است. CageFS مانع این نقص نیست.
✅ مدیران CloudLinux:
کرنل اصلاح‌شده برای نسخه‌های زیر در کانال‌های beta/rollout عرضه شده است:
CloudLinux 7 hybrid:
4.18.0-553.177.1.lve.1.el7h
CloudLinux 8:
4.18.0-553.177.1.lve.1.el8
پس از نصب، سرور را مجدداً راه‌اندازی و فعال بودن کرنل جدید را بررسی کنید.
⚠️ راهکار موقت پیشنهادی، تنظیم user.max_user_namespaces روی 0 است؛ این تغییر ممکن است کانتینرهای rootless را مختل کند و جایگزین نصب اصلاحیه نیست.
منابع:
https://blog.cloudlinux.com/zdi-can-33367
https://cloudlinux.statuspage.io/
~~~~
✅ @WebBanSecurity
👍3🤯3
⚠️ به‌روزرسانی امنیتی Virtualizor
در تاریخ ۲۴ اکتبر، Virtualizor نسخه 3.3.0 Patch 6 را برای کاهش خطر CVE-2026-115560 منتشر کرد.
این نقص PHP فقط در ترکیب خاصی از تنظیمات و کد برنامه می‌تواند به اجرای کد مخرب منجر شود؛ سوءاستفاده فعال در اطلاعیه‌های بررسی‌شده گزارش نشده است.
✅ مدیران Virtualizor، نسخه‌های قبلی را به 3.3.0 Patch 6 در کانال Stable ارتقا دهند و بررسی کنند تنظیم زیر برای PHP پنل اعمال شده باشد:
session.upload_progress.enabled = 0
این به‌روزرسانی راهکار پیشگیرانه است؛ اصلاحیه اصلی PHP هنوز منتشر نشده است.
منبع:
https://www.virtualizor.com/blog/virtualizor-3-3-0-launched-patch-6/
~~~~
✅ @WebBanSecurity
در تاریخ ۲۴ اکتبر، Virtualizor نسخه 3.3.0 Patch 6 را برای کاهش خطر CVE-2026-115560 منتشر کرد.
این نقص PHP فقط در ترکیب خاصی از تنظیمات و کد برنامه می‌تواند به اجرای کد مخرب منجر شود؛ سوءاستفاده فعال در اطلاعیه‌های بررسی‌شده گزارش نشده است.
✅ مدیران Virtualizor، نسخه‌های قبلی را به 3.3.0 Patch 6 در کانال Stable ارتقا دهند و بررسی کنند تنظیم زیر برای PHP پنل اعمال شده باشد:
session.upload_progress.enabled = 0
این به‌روزرسانی راهکار پیشگیرانه است؛ اصلاحیه اصلی PHP هنوز منتشر نشده است.
منبع:
https://www.virtualizor.com/blog/virtualizor-3-3-0-launched-patch-6/
~~~~
✅ @WebBanSecurity
👍5
⚠️ هشدار امنیتی Tailscale SSH
گزارش Tailworm در ۲۵ اکتبر، امکان افزایش دسترسی به root از طریق قابلیت انتقال اتصال SSH را مطرح کرده است. مهاجم ابتدا باید یک دستگاه دارای مجوز اتصال به سرور را در اختیار داشته باشد.
آزمایش‌ها روی Tailscale 1.104.2 و headscale 0.29.5 انجام شده‌اند؛ دامنه دقیق نسخه‌های آسیب‌پذیر هنوز مشخص نیست. سوءاستفاده واقعی در منابع بررسی‌شده تأیید نشده و اصلاحیه مشخصی برای این موارد اعلام نشده است.
✅ دسترسی‌های Tailscale SSH را به کاربران و دستگاه‌های ضروری محدود کنید.
✅ اگر به SSH forwarding نیاز ندارید، این متغیر را در محیط سرویس tailscaled تنظیم کرده و سرویس را مجدداً راه‌اندازی کنید:
TS_SSH_DISABLE_FORWARDING=1
این اقدام راهکار موقت کاهش خطر است. موضوع مربوط به SSH داخلی Tailscale است؛ استفاده از OpenSSH معمولی روی تونل Tailscale مشمول این مورد مشخص نیست.
منبع و راهکار ارائه‌شده توسط مسئول فنی Tailscale:
https://www.reddit.com/r/Tailscale/comments/1xeoj1l/recent_tailscale_vulnerability_reports/
~~~~
✅ @WebBanSecurity
گزارش Tailworm در ۲۵ اکتبر، امکان افزایش دسترسی به root از طریق قابلیت انتقال اتصال SSH را مطرح کرده است. مهاجم ابتدا باید یک دستگاه دارای مجوز اتصال به سرور را در اختیار داشته باشد.
آزمایش‌ها روی Tailscale 1.104.2 و headscale 0.29.5 انجام شده‌اند؛ دامنه دقیق نسخه‌های آسیب‌پذیر هنوز مشخص نیست. سوءاستفاده واقعی در منابع بررسی‌شده تأیید نشده و اصلاحیه مشخصی برای این موارد اعلام نشده است.
✅ دسترسی‌های Tailscale SSH را به کاربران و دستگاه‌های ضروری محدود کنید.
✅ اگر به SSH forwarding نیاز ندارید، این متغیر را در محیط سرویس tailscaled تنظیم کرده و سرویس را مجدداً راه‌اندازی کنید:
TS_SSH_DISABLE_FORWARDING=1
این اقدام راهکار موقت کاهش خطر است. موضوع مربوط به SSH داخلی Tailscale است؛ استفاده از OpenSSH معمولی روی تونل Tailscale مشمول این مورد مشخص نیست.
منبع و راهکار ارائه‌شده توسط مسئول فنی Tailscale:
https://www.reddit.com/r/Tailscale/comments/1xeoj1l/recent_tailscale_vulnerability_reports/
~~~~
✅ @WebBanSecurity
👍4
🚨 PHP2Shell؛ به‌روزرسانی فوری PHP
دو آسیب‌پذیری بحرانی با امتیاز 9.2 می‌توانند به مهاجم بدون ورود به حساب، امکان اجرای کد روی سرور بدهند:
CVE-2026-109618
CVE-2026-109619
⚠️ سایت‌های مبتنی بر PHP، از جمله وردپرس و لاراول، در صورت استفاده از PHP آسیب‌پذیر در معرض خطرند. تلاش برای سوءاستفاده از ۱۷ اکتبر گزارش شده است.
✅ نسخه PHP وب‌سایت را در شاخه مربوطه حداقل به یکی از نسخه‌های اصلاح‌شده زیر ارتقا دهید:
8.2.35
8.3.36
8.4.27
8.5.12
برای نسخه‌های قدیمی‌تر، نصب بسته دارای اصلاحیه امنیتی را از ارائه‌دهنده هاست تأیید کنید یا به نسخه پشتیبانی‌شده مهاجرت کنید. مدیران سرور پس از نصب، پردازش‌های PHP را مجدداً راه‌اندازی کنند.
به‌روزرسانی وردپرس یا افزونه‌ها کافی نیست؛ خود PHP باید اصلاح شود. تغییر تنظیمات نیز جایگزین کامل نصب اصلاحیه نیست.
اصلاحیه‌ها در ۲۱ اکتبر ۲۰۲۶ منتشر شده‌اند.
منبع رسمی:
https://www.php.net/archive/2026.php#2026-10-21-1
~~~~
✅ @WebBanSecurity
دو آسیب‌پذیری بحرانی با امتیاز 9.2 می‌توانند به مهاجم بدون ورود به حساب، امکان اجرای کد روی سرور بدهند:
CVE-2026-109618
CVE-2026-109619
⚠️ سایت‌های مبتنی بر PHP، از جمله وردپرس و لاراول، در صورت استفاده از PHP آسیب‌پذیر در معرض خطرند. تلاش برای سوءاستفاده از ۱۷ اکتبر گزارش شده است.
✅ نسخه PHP وب‌سایت را در شاخه مربوطه حداقل به یکی از نسخه‌های اصلاح‌شده زیر ارتقا دهید:
8.2.35
8.3.36
8.4.27
8.5.12
برای نسخه‌های قدیمی‌تر، نصب بسته دارای اصلاحیه امنیتی را از ارائه‌دهنده هاست تأیید کنید یا به نسخه پشتیبانی‌شده مهاجرت کنید. مدیران سرور پس از نصب، پردازش‌های PHP را مجدداً راه‌اندازی کنند.
به‌روزرسانی وردپرس یا افزونه‌ها کافی نیست؛ خود PHP باید اصلاح شود. تغییر تنظیمات نیز جایگزین کامل نصب اصلاحیه نیست.
اصلاحیه‌ها در ۲۱ اکتبر ۲۰۲۶ منتشر شده‌اند.
منبع رسمی:
https://www.php.net/archive/2026.php#2026-10-21-1
~~~~
✅ @WebBanSecurity
👍4
🚨 دسترسی غیرمجاز مدیر در افزونه Datawiza وردپرس
آسیب‌پذیری CVE-2026-115214 در نسخه 1.1.0 افزونه Datawiza Proxy Auth می‌تواند به مهاجم بدون ورود، امکان ساخت حساب مدیر و ورود به سایت بدهد.
WPScan این نقص را بحرانی با امتیاز 9.8 اعلام کرده است. سوءاستفاده فعال در اطلاعیه بررسی‌شده گزارش نشده است.
✅ افزونه را به نسخه 1.1.1 یا بالاتر ارتقا دهید؛ نسخه موجود در مخزن وردپرس 1.1.2 است.
✅ مطابق راهنمای سازنده، دسترسی مستقیم به سایت با دور زدن پراکسی احراز هویت را مسدود کنید.
این هشدار مربوط به همین افزونه است، نه همه سایت‌های وردپرسی. اطلاعیه در ۲۳ اکتبر ۲۰۲۶ منتشر شده؛ اصلاحیه از قبل موجود بوده است.
منبع:
https://wpscan.com/vulnerability/2c6c7d10-2281-4a98-a0d6-769da5cce416/
~~~~
✅ @WebBanSecurity
آسیب‌پذیری CVE-2026-115214 در نسخه 1.1.0 افزونه Datawiza Proxy Auth می‌تواند به مهاجم بدون ورود، امکان ساخت حساب مدیر و ورود به سایت بدهد.
WPScan این نقص را بحرانی با امتیاز 9.8 اعلام کرده است. سوءاستفاده فعال در اطلاعیه بررسی‌شده گزارش نشده است.
✅ افزونه را به نسخه 1.1.1 یا بالاتر ارتقا دهید؛ نسخه موجود در مخزن وردپرس 1.1.2 است.
✅ مطابق راهنمای سازنده، دسترسی مستقیم به سایت با دور زدن پراکسی احراز هویت را مسدود کنید.
این هشدار مربوط به همین افزونه است، نه همه سایت‌های وردپرسی. اطلاعیه در ۲۳ اکتبر ۲۰۲۶ منتشر شده؛ اصلاحیه از قبل موجود بوده است.
منبع:
https://wpscan.com/vulnerability/2c6c7d10-2281-4a98-a0d6-769da5cce416/
~~~~
✅ @WebBanSecurity
👍5
⚠️ به‌روزرسانی امنیتی فوری Python
نسخه‌های امنیتی جدید Python برای مسدودسازی کلیدهای گواهی لو‌رفته eMudhra منتشر شده‌اند.
این مشکل با شناسه CVE-2026-115557 می‌تواند در محیط‌هایی که هنوز به این کلیدها اعتماد دارند، امکان جعل ارتباط امن و رهگیری ترافیک را فراهم کند. سوءاستفاده فعال در منابع بررسی‌شده تأیید نشده است.
✅ مدیران سرویس‌های Python، نسخه قبلی هر شاخه را به نسخه اصلاح‌شده مربوط ارتقا دهند:
3.11 → 3.11.18
3.12 → 3.12.16
3.13 → 3.13.18
3.14 → 3.14.10
3.15 → 3.15.2
بسته دارای اصلاحیه تأییدشده توزیع لینوکس نیز قابل استفاده است. محیط‌های برنامه و کانتینرها را با نسخه اصلاح‌شده بازسازی و سرویس‌ها را مجدداً راه‌اندازی کنید.
این اصلاحیه، کلیدهای آسیب‌دیده را در ماژول ssl مسدود می‌کند و از ارتباطات معمول pip نیز محافظت می‌کند.
اعلام انتشار: ۲۶ اکتبر ۲۰۲۶
منبع رسمی:
https://blog.python.org/2026/10/python-3152-31410-31318-31216-31118/
~~~~
✅ @WebBanSecurity
نسخه‌های امنیتی جدید Python برای مسدودسازی کلیدهای گواهی لو‌رفته eMudhra منتشر شده‌اند.
این مشکل با شناسه CVE-2026-115557 می‌تواند در محیط‌هایی که هنوز به این کلیدها اعتماد دارند، امکان جعل ارتباط امن و رهگیری ترافیک را فراهم کند. سوءاستفاده فعال در منابع بررسی‌شده تأیید نشده است.
✅ مدیران سرویس‌های Python، نسخه قبلی هر شاخه را به نسخه اصلاح‌شده مربوط ارتقا دهند:
3.11 → 3.11.18
3.12 → 3.12.16
3.13 → 3.13.18
3.14 → 3.14.10
3.15 → 3.15.2
بسته دارای اصلاحیه تأییدشده توزیع لینوکس نیز قابل استفاده است. محیط‌های برنامه و کانتینرها را با نسخه اصلاح‌شده بازسازی و سرویس‌ها را مجدداً راه‌اندازی کنید.
این اصلاحیه، کلیدهای آسیب‌دیده را در ماژول ssl مسدود می‌کند و از ارتباطات معمول pip نیز محافظت می‌کند.
اعلام انتشار: ۲۶ اکتبر ۲۰۲۶
منبع رسمی:
https://blog.python.org/2026/10/python-3152-31410-31318-31216-31118/
~~~~
✅ @WebBanSecurity
👍5
🚨 به‌روزرسانی PHP2Shell؛ شواهد سوءاستفاده موفق
گزارش منتشرشده در ۲۶ اکتبر، اجرای موفق فرمان از طریق PHP2Shell را روی هانی‌پات‌های متصل به اینترنت مستند کرده است. حملات ثبت‌شده در ۲۴ اکتبر، PHP 8.4.26 همراه Apache mod_php را هدف گرفته‌اند.
این شواهد به معنی تأیید نفوذ گسترده به سایت‌های واقعی نیست، اما فوریت نصب اصلاحیه را بیشتر می‌کند.
آسیب‌پذیری‌های بحرانی:
CVE-2026-109618
CVE-2026-109619
✅ PHP وب‌سایت را در شاخه مربوطه حداقل به یکی از نسخه‌های زیر ارتقا دهید:
8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
برای شاخه‌های قدیمی، بسته دارای اصلاحیه تأییدشده ارائه‌دهنده را نصب کنید. پس از به‌روزرسانی، پردازش‌های PHP را مجدداً راه‌اندازی و اجرای فرمان یا تغییر فایل‌های مشکوک را بررسی کنید.
به‌روزرسانی وردپرس به‌تنهایی کافی نیست؛ تغییر تنظیمات نیز جایگزین کامل اصلاحیه PHP نیست.
منبع گزارش:
https://www.bleepingcomputer.com/news/security/php2shell-security-flaws-now-sucessfully-exploited-in-the-wild/
اصلاحیه رسمی:
https://www.php.net/archive/2026.php
~~~~
✅ @WebBanSecurity
گزارش منتشرشده در ۲۶ اکتبر، اجرای موفق فرمان از طریق PHP2Shell را روی هانی‌پات‌های متصل به اینترنت مستند کرده است. حملات ثبت‌شده در ۲۴ اکتبر، PHP 8.4.26 همراه Apache mod_php را هدف گرفته‌اند.
این شواهد به معنی تأیید نفوذ گسترده به سایت‌های واقعی نیست، اما فوریت نصب اصلاحیه را بیشتر می‌کند.
آسیب‌پذیری‌های بحرانی:
CVE-2026-109618
CVE-2026-109619
✅ PHP وب‌سایت را در شاخه مربوطه حداقل به یکی از نسخه‌های زیر ارتقا دهید:
8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
برای شاخه‌های قدیمی، بسته دارای اصلاحیه تأییدشده ارائه‌دهنده را نصب کنید. پس از به‌روزرسانی، پردازش‌های PHP را مجدداً راه‌اندازی و اجرای فرمان یا تغییر فایل‌های مشکوک را بررسی کنید.
به‌روزرسانی وردپرس به‌تنهایی کافی نیست؛ تغییر تنظیمات نیز جایگزین کامل اصلاحیه PHP نیست.
منبع گزارش:
https://www.bleepingcomputer.com/news/security/php2shell-security-flaws-now-sucessfully-exploited-in-the-wild/
اصلاحیه رسمی:
https://www.php.net/archive/2026.php
~~~~
✅ @WebBanSecurity
👍5
⚠️ اصلاحیه اضطراری .NET برای Brotli
نقص CVE-2026-111497 در برنامه‌هایی که داده Brotli پردازش می‌کنند، می‌تواند باعث افشای حافظه یا اختلال شود. سوءاستفاده فعال در اطلاعیه تأیید نشده است.
✅ نسخه اصلاح‌شده شاخه خود را نصب کنید:
8.0.33 / 9.0.22 / 10.0.14 / 11 RC3
برنامه را مجدداً راه‌اندازی کنید؛ برنامه‌های دارای runtime داخلی و کانتینرها باید بازسازی شوند.
انتشار: ۲۵ اکتبر ۲۰۲۶
منبع:
https://devblogs.microsoft.com/dotnet/dotnet-october-2026-oob-security-updates/
~~~~
✅ @WebBanSecurity
نقص CVE-2026-111497 در برنامه‌هایی که داده Brotli پردازش می‌کنند، می‌تواند باعث افشای حافظه یا اختلال شود. سوءاستفاده فعال در اطلاعیه تأیید نشده است.
✅ نسخه اصلاح‌شده شاخه خود را نصب کنید:
8.0.33 / 9.0.22 / 10.0.14 / 11 RC3
برنامه را مجدداً راه‌اندازی کنید؛ برنامه‌های دارای runtime داخلی و کانتینرها باید بازسازی شوند.
انتشار: ۲۵ اکتبر ۲۰۲۶
منبع:
https://devblogs.microsoft.com/dotnet/dotnet-october-2026-oob-security-updates/
~~~~
✅ @WebBanSecurity
👍5
⚠️ نقص امنیتی نصب .NET در لینوکس
CVE-2026-114148 می‌تواند به کاربر محلی امکان تغییر فایل‌ها و افزایش دسترسی بدهد.
متأثر: نصب ASP.NET Core نسخه‌های 8 و 9 با tarball؛ در شاخه‌های 10 و 11 فقط بسته‌های source-build.
✅ بسته اصلاح‌شده شاخه مربوط را دریافت و نصب کنید:
8.0.33 / 9.0.22 / 10.0.14 / 11 RC3
بسته‌های ساخته‌شده از سورس را بازسازی کنید. سوءاستفاده فعال در اطلاعیه تأیید نشده است.
انتشار: ۲۵ اکتبر ۲۰۲۶
منبع:
https://devblogs.microsoft.com/dotnet/dotnet-october-2026-oob-security-updates/
~~~~
✅ @WebBanSecurity
CVE-2026-114148 می‌تواند به کاربر محلی امکان تغییر فایل‌ها و افزایش دسترسی بدهد.
متأثر: نصب ASP.NET Core نسخه‌های 8 و 9 با tarball؛ در شاخه‌های 10 و 11 فقط بسته‌های source-build.
✅ بسته اصلاح‌شده شاخه مربوط را دریافت و نصب کنید:
8.0.33 / 9.0.22 / 10.0.14 / 11 RC3
بسته‌های ساخته‌شده از سورس را بازسازی کنید. سوءاستفاده فعال در اطلاعیه تأیید نشده است.
انتشار: ۲۵ اکتبر ۲۰۲۶
منبع:
https://devblogs.microsoft.com/dotnet/dotnet-october-2026-oob-security-updates/
~~~~
✅ @WebBanSecurity
👍5
🚨 آسیب‌پذیری بحرانی افزونه Paytium وردپرس
افزونه پرداخت و دریافت کمک مالی Paytium در نسخه 5.0.5 و قدیمی‌تر، دارای نقص CVE-2026-114196 با امتیاز بحرانی 9.8 است.
این نقص بدون نیاز به ورود، امکان تزریق شیء PHP و انجام عملیات مخرب در سمت سرور را فراهم می‌کند. سوءاستفاده فعال در اطلاعیه بررسی‌شده تأیید نشده است.
✅ اگر از Paytium استفاده می‌کنید، فوراً آن را به نسخه 5.0.6 یا بالاتر ارتقا دهید.
اصلاحیه: ۲۱ اکتبر ۲۰۲۶
انتشار اطلاعیه: ۲۲ اکتبر ۲۰۲۶
منبع:
https://patchstack.com/database/wordpress/plugin/paytium/vulnerability/wordpress-paytium-plugin-5-0-5-php-object-injection-vulnerability
~~~~
✅ @WebBanSecurity
افزونه پرداخت و دریافت کمک مالی Paytium در نسخه 5.0.5 و قدیمی‌تر، دارای نقص CVE-2026-114196 با امتیاز بحرانی 9.8 است.
این نقص بدون نیاز به ورود، امکان تزریق شیء PHP و انجام عملیات مخرب در سمت سرور را فراهم می‌کند. سوءاستفاده فعال در اطلاعیه بررسی‌شده تأیید نشده است.
✅ اگر از Paytium استفاده می‌کنید، فوراً آن را به نسخه 5.0.6 یا بالاتر ارتقا دهید.
اصلاحیه: ۲۱ اکتبر ۲۰۲۶
انتشار اطلاعیه: ۲۲ اکتبر ۲۰۲۶
منبع:
https://patchstack.com/database/wordpress/plugin/paytium/vulnerability/wordpress-paytium-plugin-5-0-5-php-object-injection-vulnerability
~~~~
✅ @WebBanSecurity
👍5
🚨 نقص بحرانی ورود در افزونه Qode Membership وردپرس
آسیب‌پذیری CVE-2026-92885 با امتیاز 9.8 در نسخه 2.0.6.2 و قدیمی‌تر، می‌تواند به مهاجم بدون ورود امکان تصاحب حساب کاربران، حتی مدیر سایت، بدهد.
مسیر حمله مربوط به ورود اجتماعی Facebook است و به کدی نیاز دارد که از صفحه عمومی فرم ورود یا ثبت‌نام افزونه قابل دریافت است.
✅ فوراً Qode Membership را به نسخه 2.0.6.3 یا بالاتر ارتقا دهید. شماره نسخه خود افزونه را بررسی کنید.
سوءاستفاده فعال در اطلاعیه بررسی‌شده تأیید نشده است.
انتشار اطلاعیه: ۲۶ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/qode-membership/qode-membership-2062-authentication-bypass-via-social-login
~~~~
✅ @WebBanSecurity
آسیب‌پذیری CVE-2026-92885 با امتیاز 9.8 در نسخه 2.0.6.2 و قدیمی‌تر، می‌تواند به مهاجم بدون ورود امکان تصاحب حساب کاربران، حتی مدیر سایت، بدهد.
مسیر حمله مربوط به ورود اجتماعی Facebook است و به کدی نیاز دارد که از صفحه عمومی فرم ورود یا ثبت‌نام افزونه قابل دریافت است.
✅ فوراً Qode Membership را به نسخه 2.0.6.3 یا بالاتر ارتقا دهید. شماره نسخه خود افزونه را بررسی کنید.
سوءاستفاده فعال در اطلاعیه بررسی‌شده تأیید نشده است.
انتشار اطلاعیه: ۲۶ اکتبر ۲۰۲۶
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/qode-membership/qode-membership-2062-authentication-bypass-via-social-login
~~~~
✅ @WebBanSecurity
👍2
🚨 نقص بحرانی در YesWiki
آسیب‌پذیری CVE-2026-116207 با امتیاز 9.1 می‌تواند بدون ورود، اطلاعات پایگاه داده از جمله هش رمز کاربران را افشا کند یا سایت را از دسترس خارج کند.
متأثر طبق رکورد CVE:
نسخه‌های 4.6.0 تا پیش از 4.7.0
نسخه‌های 5.0.0-alpha1 تا alpha3
✅ شاخه پایدار را به 4.7.0 یا بالاتر ارتقا دهید.
✅ برای شاخه آزمایشی، اصلاحیه در 5.0.0-alpha4 موجود است.
✅ تا زمان ارتقا، دسترسی عمومی به API جست‌وجوی ورودی‌های Bazar را محدود کنید.
نمونه عملی حمله منتشر شده، اما سوءاستفاده فعال در منبع بررسی‌شده تأیید نشده است.
انتشار اطلاعیه سازنده: ۹ اکتبر ۲۰۲۶
منبع:
https://github.com/YesWiki/yeswiki/security/advisories/GHSA-ccp2-6q93-hggh
~~~~
✅ @WebBanSecurity
آسیب‌پذیری CVE-2026-116207 با امتیاز 9.1 می‌تواند بدون ورود، اطلاعات پایگاه داده از جمله هش رمز کاربران را افشا کند یا سایت را از دسترس خارج کند.
متأثر طبق رکورد CVE:
نسخه‌های 4.6.0 تا پیش از 4.7.0
نسخه‌های 5.0.0-alpha1 تا alpha3
✅ شاخه پایدار را به 4.7.0 یا بالاتر ارتقا دهید.
✅ برای شاخه آزمایشی، اصلاحیه در 5.0.0-alpha4 موجود است.
✅ تا زمان ارتقا، دسترسی عمومی به API جست‌وجوی ورودی‌های Bazar را محدود کنید.
نمونه عملی حمله منتشر شده، اما سوءاستفاده فعال در منبع بررسی‌شده تأیید نشده است.
انتشار اطلاعیه سازنده: ۹ اکتبر ۲۰۲۶
منبع:
https://github.com/YesWiki/yeswiki/security/advisories/GHSA-ccp2-6q93-hggh
~~~~
✅ @WebBanSecurity
👍2