آسیب پذیری Object Injection بحرانی در افزونه Newsletters (CVE-2026-94075)

شناسه CVE: CVE-2026-94075
تاریخ انتشار: ۲۴ اکتبر ۲۰۲۶، ساعت ۸:۱۶
شدت: ۹.۸ از ۱۰ (بحرانی)

شرح آسیب پذیری:
در افزونه Newsletters محصول Tribulant Software با اسلاگ newsletters-lite، یک آسیب پذیری از نوع «Deserialization داده‌های غیرقابل اعتماد» (Deserialization of Untrusted Data) شناسایی شده است. این نقص امنیتی که در دسته CWE-502 قرار می‌گیرد، امکان Object Injection را برای مهاجم فراهم می‌کند. نسخه‌های آسیب پذیر این افزونه تا 4.18.1 هستند و امتیاز CVSS ۹.۸ آن را در رده بحرانی قرار می‌دهد.

جزئیات فنی:
آسیب پذیری Deserialization of Untrusted Data زمانی رخ می‌دهد که برنامه، داده سریال‌شده دریافتی از منبع غیرقابل اعتماد را بدون اعتبارسنجی کافی از حالت سریال خارج می‌کند. در PHP، این فرآیند از طریق توابعی مانند unserialize() انجام می‌شود و در صورت وجود کلاس‌های مناسب در محیط (gadget chain)، مهاجم می‌تواند یک شیء مخرب تزریق کرده و رفتار برنامه را کنترل کند. در افزونه Newsletters، این ضعف به مهاجم اجازه می‌دهد اشیاء دلخواه را در بستر برنامه تزریق کرده و در صورت وجود زنجیره gadget مناسب، به اجرای کد از راه دور (RCE)، خواندن یا حذف فایل‌ها، تغییر تنظیمات سایت یا نفوذ کامل به سرور دست یابد. از آنجا که این افزونه برای مدیریت خبرنامه‌ها، لیست مشترکان و ارسال ایمیل انبوه استفاده می‌شود، سطح تماس عمومی با آن بالاست و شرایط بهره‌برداری به‌طور قابل توجهی ساده است. شدت بحرانی این آسیب پذیری نشان می‌دهد که احتمال نفوذ کامل و پیامدهای آن بسیار جدی است.

توصیه امنیتی:
مدیران وردپرس باید در سریع‌ترین زمان ممکن افزونه Newsletters را به نسخه‌ای بالاتر از 4.18.1 ارتقا دهند. تا زمان به‌روزرسانی، توصیه اکید می‌شود افزونه به‌طور موقت غیرفعال شود، WAF با قواعد مقابله با Object Injection و Deserialization فعال گردد، دسترسی به بخش مدیریت محدود شود و لاگ‌های دسترسی برای شناسایی تلاش‌های نفوذ پایش شوند. همچنین بررسی یکپارچگی فایل‌های وردپرس برای شناسایی کدهای ناخواسته، بازبینی کاربران مدیریتی و تغییر رمزهای عبور از اقدامات ضروری پس از شناسایی این آسیب پذیری است.

نکته عملیاتی برای تیم‌های دواپس و امنیت سرور:
آسیب پذیری‌های Deserialization از خطرناک‌ترین انواع نقص‌های امنیتی هستند، زیرا در صورت وجود gadget chain مناسب، مهاجم می‌تواند از یک ورودی ساده به اجرای کد از راه دور برسد. بازبینی دوره‌ای افزونه‌های دریافت‌کننده داده سریال‌شده، اعمال اصل حداقل دسترسی، پایش مداوم ترافیک ورودی و اجرای سرویس‌ها در محیط ایزوله، بخشی از اصول نگهداری امن زیرساخت محسوب می‌شود. در سایت‌هایی که افزونه‌های خبرنامه و ارسال ایمیل انبوه فعال دارند، توجه ویژه به این دسته از آسیب پذیری‌ها می‌تواند از بروز یک حادثه امنیتی گسترده و پرهزینه جلوگیری کند.