CVE-2026-115964 – WordPress Motors plugin

شناسه CVE: CVE-2026-115964
تاریخ انتشار: ۲۹ اکتبر ۲۰۲۶، ساعت ۱۱:۰۰
شدت: ۹.۳ از ۱۰ (بحرانی)

شرح آسیب پذیری:
در افزونه Motors محصول StylemixThemes با اسلاگ motors-car-dealership-classified-listings، یک آسیب پذیری از نوع «خنثی‌سازی نادرست عناصر ویژه در دستور SQL» یا SQL Injection شناسایی شده است. این نقص امنیتی که در دسته CWE-89 قرار می‌گیرد، امکان اجرای SQL Injection کور (Blind SQL Injection) را برای مهاجم فراهم می‌کند. نسخه‌های آسیب پذیر این افزونه تا 1.4.126 هستند و امتیاز CVSS ۹.۳ آن را در رده بحرانی قرار می‌دهد.

جزئیات فنی:
در SQL Injection کور، مهاجم نمی‌تواند خروجی پرس‌وجو را مستقیماً مشاهده کند، اما با ارسال ورودی‌های دستکاری‌شده و تحلیل تفاوت‌های رفتاری سرور — مانند زمان پاسخ، وضعیت HTTP یا تغییر محتوای صفحه — می‌تواند اطلاعات را به‌صورت تدریجی استخراج کند. در افزونه Motors، ورودی‌های کاربر پیش از استفاده در دستور SQL به‌درستی پالایش نمی‌شوند. از آنجا که این افزونه برای راه‌اندازی سایت‌های نمایش خودرو، آگهی‌های classified و مدیریت لیستینگ‌ها استفاده می‌شود، سوءاستفاده از این ضعف می‌تواند به افشای اطلاعات حساس مانند داده‌های فروشندگان، جزئیات آگهی‌ها، هش رمز عبور، توکن‌های نشست و اطلاعات تماس کاربران منجر شود. بسته به سطح دسترسی کاربر SQL، احتمال تغییر یا حذف داده‌ها نیز وجود دارد. شدت بحرانی این آسیب پذیری نشان می‌دهد که بهره‌برداری از آن می‌تواند پیامدهای جدی برای محرمانگی و یکپارچگی داده‌ها داشته باشد و ماهیت کور آن، شناسایی و پایش را دشوارتر می‌کند.

توصیه امنیتی:
مدیران وردپرس باید در سریع‌ترین زمان ممکن افزونه Motors را به نسخه‌ای بالاتر از 1.4.126 ارتقا دهند. تا زمان به‌روزرسانی، توصیه اکید می‌شود افزونه به‌طور موقت غیرفعال شود، WAF با قواعد مقابله با SQL Injection فعال گردد، دسترسی به بخش مدیریت محدود شود و لاگ‌های دسترسی برای شناسایی تلاش‌های نفوذ پایش شوند. همچنین توصیه می‌شود دسترسی کاربر SQL وردپرس به حداقل ممکن محدود شده و یکپارچگی پایگاه داده برای شناسایی تغییرات غیرمجاز بررسی گردد.

نکته عملیاتی برای تیم‌های دواپس و امنیت سرور:
افزونه‌های classified و نمایش آگهی، به‌دلیل تعامل مستقیم با داده‌های کاربران و حجم بالای ورودی عمومی، از پرریسک‌ترین اجزای سایت‌های وردپرسی محسوب می‌شوند. اعمال اصل حداقل دسترسی برای کاربر SQL، پایش مداوم ترافیک ورودی، بازبینی دوره‌ای وصله‌ها و طراحی لایه‌های دفاعی چندگانه، بخشی از اصول نگهداری امن زیرساخت است. در سایت‌هایی که چند سرویس classified یا مارکت‌پلیس مدیریت می‌شود، واکنش سریع به این دسته از هشدارها می‌تواند از افشای گسترده داده‌های کاربران جلوگیری کند.