افزونه امنیتی وردپرس WP Ghost در معرض آسیب‌پذیری اجرای کد از راه دور

افزونه امنیتی محبوب وردپرس WP Ghost که در بیش از ۲۰۰ هزار وب‌سایت استفاده می‌شود، دارای آسیب‌پذیری بحرانی است که به مهاجمان غیرمجاز امکان اجرای کد از راه دور (RCE) و تصرف سرورها را می‌دهد. این آسیب‌پذیری با شناسه CVE-2025-26909 و امتیاز CVSS برابر ۹.۶ تمام نسخه‌های WP Ghost تا ورژن ۵.۴.۰۱ را تحت تأثیر قرار می‌دهد و ناشی از عدم اعتبارسنجی کافی ورودی در تابع ‘showFile()’ است.

بر اساس گزارش Patchstack، این نقص امنیتی امکان شامل‌سازی فایل‌های دلخواه از طریق مسیرهای URL دستکاری‌شده را فراهم می‌کند و می‌تواند منجر به افشای اطلاعات، ربودن جلسه، مسمومیت لاگ و حملات انکار سرویس (DoS) شود. اگرچه این آسیب‌پذیری تنها زمانی فعال می‌شود که ویژگی “Change Paths” در حالت Lite یا Ghost قرار داشته باشد، اما بخش شامل‌سازی فایل محلی (LFI) تقریباً تمام تنظیمات را تحت تأثیر قرار می‌دهد. توسعه‌دهندگان WP Ghost پس از اطلاع از این مشکل، رفع آن را در نسخه‌های ۵.۴.۰۲ و ۵.۴.۰۳ ارائه داده‌اند و به کاربران توصیه می‌شود فوراً به این نسخه‌ها ارتقا دهند.