CVE-2026-110883 – WordPress 2Way VideoCalls and Random Chat plugin

شناسه CVE: CVE-2026-110883
تاریخ انتشار: ۱۸ اکتبر ۲۰۲۶، ساعت ۱۱:۱۶
شدت: ۶.۵ از ۱۰ (متوسط)

شرح آسیب پذیری:
در افزونه 2Way VideoCalls and Random Chat محصول VideoWhisper.com با اسلاگ webcam-2way-videochat، یک آسیب پذیری از نوع «دورزدن احراز هویت از طریق ضعف اولیه» (Authentication Bypass by Primary Weakness) شناسایی شده است. این نقص امنیتی که در دسته CWE-287 قرار می‌گیرد، امکان سوءاستفاده از مکانیزم احراز هویت را برای مهاجم فراهم می‌کند. نسخه‌های آسیب پذیر این افزونه تا 6.1.5 هستند.

جزئیات فنی:
آسیب پذیری‌های Authentication Bypass از نوع Primary Weakness زمانی رخ می‌دهند که منطق اصلی احراز هویت در برنامه، از یک ضعف بنیادین رنج می‌برد؛ برای مثال، اعتماد به ورودی قابل دستکاری، نبود بررسی صحت توکن یا اتکا به شناسه‌های قابل پیش‌بینی. در افزونه 2Way VideoCalls and Random Chat، این ضعف به مهاجم اجازه می‌دهد بدون ارائه مدارک معتبر، به قابلیت‌های محافظت‌شده دسترسی پیدا کند یا خود را به‌جای کاربر دیگری معرفی نماید. از آنجا که این افزونه برای تماس‌های ویدیویی دوطرفه و چت تصادفی استفاده می‌شود، پیامدهای سوءاستفاده می‌تواند شامل دسترسی به جلسات خصوصی کاربران، مشاهده یا ارسال محتوای ویدیویی بدون مجوز، جعل هویت سایر شرکت‌کنندگان و نقض حریم خصوصی کاربران باشد. شدت متوسط این آسیب پذیری نشان می‌دهد که بهره‌برداری از آن نیازمند شرایط خاص یا دانش فنی نسبی است، اما در محیط‌هایی که این افزونه فعال است، ریسک افشای حریم خصوصی و سوءاستفاده از نشست کاربران قابل توجه است.

توصیه امنیتی:
مدیران سایت باید در اسرع وقت افزونه 2Way VideoCalls and Random Chat را به نسخه‌ای بالاتر از 6.1.5 ارتقا دهند. تا زمان به‌روزرسانی، توصیه می‌شود دسترسی به قابلیت‌های حساس افزونه محدود شود، مکانیزم‌های احراز هویت و اعتبارسنجی توکن بازبینی گردند، لاگ‌های دسترسی و جلسات کاربران پایش شوند و در صورت امکان افزونه به‌طور موقت غیرفعال شود. اعمال WAF با قواعد مقابله با دورزدن احراز هویت و محدودسازی دسترسی‌های مهمان نیز از اقدامات کاهشی مؤثر هستند.

نکته عملیاتی برای تیم‌های دواپس و امنیت سرور:
مکانیزم احراز هویت، پایه و اساس امنیت هر سرویس آنلاین است و ضعف در لایه اولیه آن می‌تواند کل مدل دسترسی را بی‌اعتبار کند. بازبینی دوره‌ای منطق احراز هویت، اعتبارسنجی توکن‌ها در سمت سرور، پایش جلسات کاربران و اعمال اصل حداقل دسترسی در سرویس‌های تعاملی مانند چت و تماس ویدیویی، بخشی از اصول نگهداری امن زیرساخت محسوب می‌شود. در سرویس‌هایی که با حریم خصوصی کاربران سروکار دارند، توجه به این لایه‌ها از بروز حوادث اعتباری و حقوقی جدی جلوگیری می‌کند.