آسیب پذیری SQL Injection کور در افزونه Modern Events Calendar Lite (CVE-2026-105067)

شناسه CVE: CVE-2026-105067
تاریخ انتشار: ۱۴ اکتبر ۲۰۲۶، ساعت ۱۱:۰۰
شدت: ۸.۵ از ۱۰ (بالا)

شرح آسیب پذیری:
در افزونه Modern Events Calendar Lite محصول Webnus با اسلاگ modern-events-calendar-lite، یک آسیب پذیری از نوع «خنثی‌سازی نادرست عناصر ویژه در دستور SQL» یا SQL Injection شناسایی شده است. این نقص امنیتی که در دسته CWE-89 قرار می‌گیرد، امکان اجرای SQL Injection کور (Blind SQL Injection) را برای مهاجم فراهم می‌کند. نسخه‌های آسیب پذیر این افزونه پیش از 7.37.0 هستند.

جزئیات فنی:
در SQL Injection کور، مهاجم نمی‌تواند خروجی پرس‌وجو را مستقیماً ببیند، اما با ارسال ورودی‌های دستکاری‌شده و تحلیل تفاوت‌های رفتاری سرور — مانند زمان پاسخ، وضعیت HTTP یا تغییر محتوای صفحه — می‌تواند اطلاعات را به‌صورت تدریجی استخراج کند. در این مورد، افزونه Modern Events Calendar Lite ورودی‌های کاربر را پیش از استفاده در دستور SQL به‌درستی پالایش نمی‌کند. از آنجا که این افزونه برای مدیریت رویدادها، تاریخ‌ها و ثبت‌نام‌ها به‌کار می‌رود، سوءاستفاده از این ضعف می‌تواند به افشای اطلاعات حساس مانند داده‌های کاربران، جزئیات ثبت‌نام‌ها، هش رمز عبور و توکن‌های نشست منجر شود. بسته به سطح دسترسی کاربر پایگاه داده، احتمال تغییر یا حذف داده‌ها نیز وجود دارد. شدت بالای این آسیب پذیری (۸.۵) نشان می‌دهد که بهره‌برداری از آن می‌تواند پیامدهای جدی برای یکپارچگی و محرمانگی داده‌ها داشته باشد و ماهیت کور آن، شناسایی و پایش را دشوارتر می‌کند.

توصیه امنیتی:
مدیران وردپرس باید در اسرع وقت افزونه Modern Events Calendar Lite را به نسخه 7.37.0 یا بالاتر ارتقا دهند. تا زمان به‌روزرسانی، غیرفعال‌سازی موقت افزونه، استفاده از WAF با قواعد مقابله با SQL Injection، پایش لاگ‌های دسترسی و محدودکردن دسترسی کاربران غیرضروری به بخش مدیریت از اقدامات کاهشی مؤثر هستند. همچنین توصیه می‌شود دسترسی کاربر SQL وردپرس به حداقل ممکن محدود شده و افزونه‌های بدون پشتیبانی فعال از سایت حذف گردند.

نکته عملیاتی برای تیم‌های دواپس و امنیت سرور:
افزونه‌های رویداد و رزرو، به‌دلیل تعامل مستقیم با داده‌های کاربران و پایگاه داده، از پرریسک‌ترین اجزای سایت‌های وردپرسی محسوب می‌شوند. پایش مداوم درخواست‌های غیرعادی، اعمال اصل حداقل دسترسی برای کاربر SQL و بازبینی دوره‌ای وصله‌های امنیتی، از اقدامات کلیدی برای کاهش این دسته از ریسک‌ها هستند. تیم‌هایی که چند سایت وردپرسی را مدیریت می‌کنند، می‌توانند این ارزیابی‌ها را به‌صورت دوره‌ای به‌عنوان بخشی از نگهداری امن زیرساخت انجام دهند.