آسیب پذیری SQL Injection در افزونه Support Genix (CVE-2026-110895)

شناسه CVE: CVE-2026-110895
تاریخ انتشار: ۱۸ اکتبر ۲۰۲۶، ساعت ۱۱:۱۶
شدت: ۸.۵ از ۱۰ (بالا)

شرح آسیب پذیری:
در افزونه Support Genix محصول DevItems با اسلاگ support-genix-lite، یک آسیب پذیری از نوع «خنثی‌سازی نادرست عناصر ویژه در دستور SQL» یا SQL Injection شناسایی شده است. این نقص امنیتی که در دسته CWE-89 قرار می‌گیرد، به مهاجم اجازه می‌دهد با تزریق دستورات مخرب SQL، پرس‌وجوهای پایگاه داده را دستکاری کند. نسخه‌های آسیب پذیر این افزونه تا 1.4.54 هستند.

جزئیات فنی:
SQL Injection زمانی رخ می‌دهد که ورودی کاربر بدون پالایش کافی در ساخت دستور SQL استفاده شود. در Support Genix، این ضعف به مهاجم اجازه می‌دهد پرس‌وجوهای دلخواه را در پایگاه داده اجرا کند و بسته به سطح دسترسی کاربر SQL، به داده‌های حساس دسترسی پیدا کند. از آنجا که این افزونه برای مدیریت تیکت‌های پشتیبانی، اطلاعات مشتریان و مکالمات داخلی استفاده می‌شود، سوءاستفاده از این آسیب پذیری می‌تواند به افشای داده‌های کاربران، محتوای تیکت‌ها، هش رمز عبور، توکن‌های نشست و اطلاعات تماس مشتریان منجر شود. بسته به سناریوی بهره‌برداری، احتمال تغییر یا حذف داده‌ها نیز وجود دارد. شدت بالای این آسیب پذیری (۸.۵) نشان می‌دهد که بهره‌برداری از آن می‌تواند پیامدهای جدی برای محرمانگی و یکپارچگی داده‌ها داشته باشد و نیازمند واکنش سریع است.

توصیه امنیتی:
مدیران وردپرس باید در اسرع وقت افزونه Support Genix را به نسخه‌ای بالاتر از 1.4.54 ارتقا دهند. تا زمان به‌روزرسانی، غیرفعال‌سازی موقت افزونه، استفاده از WAF با قواعد مقابله با SQL Injection، پایش لاگ‌های دسترسی و محدودکردن دسترسی کاربران غیرضروری به بخش مدیریت از اقدامات کاهشی مؤثر هستند. همچنین توصیه می‌شود دسترسی کاربر SQL وردپرس به حداقل ممکن محدود شده و یکپارچگی پایگاه داده برای شناسایی تغییرات غیرمجاز بررسی گردد.

نکته عملیاتی برای تیم‌های دواپس و امنیت سرور:
افزونه‌های پشتیبانی و تیکتینگ به‌دلیل نگهداری حجم وسیعی از اطلاعات مشتریان و مکالمات حساس، یکی از اهداف جذاب برای مهاجمان محسوب می‌شوند. اعمال اصل حداقل دسترسی برای کاربر SQL، پایش مداوم ترافیک ورودی، بازبینی دوره‌ای وصله‌ها و طراحی لایه‌های دفاعی چندگانه، بخشی از اصول نگهداری امن زیرساخت است. در سایت‌هایی که چند سرویس پشتیبانی یا تیکتینگ مدیریت می‌شود، واکنش سریع به این دسته از هشدارها می‌تواند از افشای گسترده داده‌های مشتریان جلوگیری کند.