هکرها از آسیب‌پذیری افزونه Post SMTP وردپرس برای هجوم به حساب‌های مدیر سوءاستفاده می‌کنند

مهاجمان سایبری به‌طور فعال از آسیب‌پذیری بحرانی در افزونه Post SMTP که بر روی بیش از ۴۰۰ هزار سایت وردپرس نصب شده است، سوءاستفاده می‌کنند تا با ربودن حساب‌های مدیر، کنترل کامل سایت‌ها را به دست آورند. این آسیب‌پذیری که با شناسه CVE-2025-11833 ثبت شده و امتیاز بحرانی ۹.۸ دریافت کرده، تمام نسخه‌های Post SMTP از ۳.۶.۰ و قدیمی‌تر را تحت تأثیر قرار می‌دهد. مشکل از عدم وجود بررسی مجوز در تابع ‘_construct’ کلاس ‘PostmanEmailLogs’ ناشی می‌شود که به مهاجمان غیرمجاز اجازه خواندن ایمیل‌های ثبت‌شده از جمله پیام‌های بازنشانی رمز عبور را می‌دهد.

شرکت امنیتی Wordfence اعلام کرد که هکرها از تاریخ ۱ نوامبر شروع به سوءاستفاده از این آسیب‌پذیری کرده‌اند و تاکنون بیش از ۴۵۰۰ تلاش حمله را مسدود کرده است. اگرچه وصله امنیتی در نسخه ۳.۶.۱ در ۲۹ اکتبر منتشر شد، اما بر اساس داده‌های WordPress.org تنها نیمی از کاربران آن را دانلود کرده‌اند و حداقل ۲۱۰ هزار سایت همچنان در معرض خطر قرار دارند. کاربران Post SMTP توصیه می‌شوند فوراً به نسخه ۳.۶.۱ به‌روزرسانی کنند یا افزونه را غیرفعال نمایند.