CVE-2026-115962 – WordPress myCred plugin

شناسه CVE: CVE-2026-115962
تاریخ انتشار: ۲۹ اکتبر ۲۰۲۶، ساعت ۱۱:۰۰
شدت: ۴.۳ از ۱۰ (متوسط)

شرح آسیب پذیری:
در افزونه myCred با اسلاگ mycred، یک آسیب پذیری از نوع «دورزدن احراز هویت از طریق جعل هویت» (Authentication Bypass by Spoofing) شناسایی شده است. این نقص امنیتی که در دسته CWE-290 قرار می‌گیرد، امکان جعل هویت (Identity Spoofing) را برای مهاجم فراهم می‌کند. نسخه‌های آسیب پذیر این افزونه تا 4.0.1 هستند.

جزئیات فنی:
آسیب پذیری Authentication Bypass by Spoofing زمانی رخ می‌دهد که برنامه به داده‌هایی اعتماد می‌کند که مهاجم می‌تواند آن‌ها را جعل یا دستکاری کند. در myCred، این ضعف به مهاجم اجازه می‌دهد با دستکاری شناسه‌های هویتی یا پارامترهای احراز هویت، خود را به‌جای کاربر دیگری معرفی کند. از آنجا که myCred یک سیستم مدیریت امتیاز، پاداش و کیف پول کاربری است، جعل هویت می‌تواند به دسترسی غیرمجاز به امتیازهای کاربران، انتقال امتیاز به حساب مهاجم، تغییر سطح کاربری یا سوءاستفاده از مزایای مرتبط با امتیاز منجر شود. شدت متوسط این آسیب پذیری نشان می‌دهد که بهره‌برداری از آن نیازمند شرایط خاص یا دانش فنی نسبی است، اما در سایت‌هایی که myCred برای سیستم پاداش و کیف پول فعال دارند، پیامدهای مالی و اعتباری آن قابل توجه است.

توصیه امنیتی:
مدیران وردپرس باید در اسرع وقت افزونه myCred را به نسخه‌ای بالاتر از 4.0.1 ارتقا دهند. تا زمان به‌روزرسانی، توصیه می‌شود مکانیزم‌های احراز هویت و شناسایی کاربر در افزونه بازبینی و اعتبارسنجی توکن‌ها در سمت سرور تقویت شود. فعال‌سازی WAF با قواعد مقابله با جعل هویت، پایش تراکنش‌های امتیاز و کیف پول، بازبینی لاگ‌های فعالیت کاربران و محدودکردن دسترسی به endpointهای حساس از اقدامات کاهشی مؤثر هستند.

نکته عملیاتی برای تیم‌های دواپس و امنیت سرور:
سیستم‌های پاداش و کیف پول کاربری، به‌دلیل تعامل مستقیم با دارایی‌های دیجیتال کاربران، از حساس‌ترین اجزای سایت‌های عضویتی محسوب می‌شوند. اعتبارسنجی سخت‌گیرانه هویت در سمت سرور، پایش مداوم تراکنش‌ها، اعمال اصل حداقل دسترسی و بازبینی دوره‌ای منطق احراز هویت، بخشی از اصول نگهداری امن زیرساخت وب است. در سایت‌هایی که افزونه‌های امتیازدهی و کیف پول فعال دارند، توجه به این لایه‌ها می‌تواند از بروز سوءاستفاده‌های مالی و اعتباری جلوگیری کند.