آسیب‌پذیری بحرانی افزونه GiveWP وردپرس امکان اجرای دستورات روی سرور را فراهم می‌کند

یک آسیب‌پذیری امنیتی بسیار خطرناک در افزونه محبوب GiveWP وردپرس شناسایی شده است که در شرایط مشخص می‌تواند به مهاجمان اجازه دهد دستورات دلخواه خود را روی سرور میزبان وب‌سایت اجرا کنند.

این نقص امنیتی با شناسه CVE-2026-82222 ثبت شده و نسخه‌های GiveWP تا 4.16.7.1 را تحت تأثیر قرار می‌دهد. شدت این آسیب‌پذیری در بالاترین سطح ارزیابی شده و مدیران سایت‌هایی که از این افزونه استفاده می‌کنند باید در اسرع وقت آن را به نسخه اصلاح‌شده ارتقا دهند.

آسیب‌پذیری افزونه GiveWP چیست؟

GiveWP یکی از افزونه‌های شناخته‌شده وردپرس برای دریافت کمک‌های مالی، ایجاد فرم‌های پرداخت و مدیریت کمپین‌های جمع‌آوری کمک است و بیش از ۱۰۰ هزار نصب فعال دارد.

بررسی‌های امنیتی نشان داده‌اند که نقص موجود در این افزونه می‌تواند در نهایت به Remote Code Execution یا اجرای کد از راه دور منجر شود؛ یعنی مهاجم در صورت موفقیت در بهره‌برداری از آسیب‌پذیری، قادر خواهد بود دستوراتی را با سطح دسترسی سرویس وب روی سرور اجرا کند.

این آسیب‌پذیری توسط پژوهشگر امنیتی Udin Chan کشف و در تاریخ ۲۸ ژوئیه ۲۰۲۶ از طریق پلتفرم امنیتی Patchstack گزارش شد. نسخه اصلاح‌شده GiveWP نیز در ۲۷ اوت ۲۰۲۶ منتشر شد.

آسیب‌پذیری CVE-2026-82222 چگونه عمل می‌کند؟

به گفته پژوهشگران Patchstack، این حمله تنها نتیجه یک اشتباه برنامه‌نویسی نیست، بلکه از ترکیب چند ضعف امنیتی مختلف تشکیل شده است.

پردازش ناامن داده‌های PHP

یکی از بخش‌های آسیب‌پذیر GiveWP مربوط به نحوه پردازش داده‌های سریال‌شده PHP است.

افزونه از یک تابع کمکی برای تبدیل داده‌های سریال‌شده استفاده می‌کرد که ظاهراً قرار بود مانع ایجاد اشیای ناامن PHP شود؛ با این حال بررسی‌های Patchstack نشان داد این مکانیزم نمی‌توانسته داده مخرب را به‌طور کامل خنثی کند.

در نتیجه، داده کنترل‌شده توسط مهاجم می‌توانست در پایگاه داده ذخیره شود و در مرحله‌ای دیگر مجدداً توسط PHP پردازش شود.

ذخیره داده مخرب در فرایند اهدا

بخش دیگری از زنجیره حمله به فرایند پردازش کمک‌های مالی در GiveWP مربوط می‌شود.

در برخی شرایط، اطلاعات کنترل‌شده توسط کاربر می‌توانست وارد فرایند پردازش کمک مالی شده و سپس در جدول نشست‌های افزونه در پایگاه داده وردپرس ذخیره شود.

زمانی که این داده در درخواست بعدی دوباره پردازش می‌شد، امکان فعال شدن شیء مخرب فراهم می‌شد.

استفاده از زنجیره Gadget برای اجرای دستور

مرحله نهایی حمله به کدها و کتابخانه‌هایی مربوط می‌شود که همراه افزونه GiveWP ارائه شده‌اند.

پژوهشگران دریافتند ترکیب کلاس‌های موجود در این کتابخانه‌ها می‌تواند یک Gadget Chain ایجاد کند. مهاجم با سوءاستفاده از این زنجیره قادر بود فرایند تزریق شیء PHP را به اجرای دستورات سیستم‌عامل روی سرور تبدیل کند.

به این ترتیب، یک نقص مرتبط با PHP Object Injection می‌توانست در نهایت به اجرای کد از راه دور روی سرور منجر شود.

آیا برای حمله به GiveWP داشتن حساب کاربری لازم است؟

در بخشی از زنجیره حمله، مهاجم به یک حساب کاربری معتبر نیاز دارد؛ اما مشکل دیگری در GiveWP این محدودیت را تا حد زیادی بی‌اثر می‌کرد.

Patchstack گزارش داده است که GiveWP دارای یک مسیر ثبت‌نام بود که تنظیم اصلی وردپرس برای غیرفعال بودن ثبت‌نام کاربران را به‌درستی بررسی نمی‌کرد.

در نتیجه، در برخی نسخه‌ها حتی اگر مدیر سایت قابلیت ثبت‌نام کاربران را در وردپرس غیرفعال کرده بود، امکان ایجاد حساب از طریق سازوکار GiveWP همچنان وجود داشت.

کدام نسخه‌های GiveWP آسیب‌پذیر هستند؟

این مشکل امنیتی نسخه‌های GiveWP 4.16.7.1 و قدیمی‌تر را تحت تأثیر قرار می‌دهد.

شرایط بهره‌برداری در همه نسخه‌ها یکسان نیست. در برخی نسخه‌های جدیدتر پیش از انتشار وصله، وجود فرم‌های قدیمی کمک مالی یا تنظیمات خاصی در فرم‌ها برای تکمیل زنجیره حمله ضروری بوده است.

این وضعیت می‌تواند به‌خصوص در سایت‌هایی که از نسخه‌های قدیمی GiveWP ارتقا یافته‌اند، فرم‌های قدیمی را بازیابی یا وارد کرده‌اند یا از ویرایشگرهای قدیمی فرم استفاده می‌کنند، اهمیت داشته باشد.

آسیب‌پذیری GiveWP در چه نسخه‌ای برطرف شده است؟

توسعه‌دهندگان GiveWP این مشکل را در نسخه 4.16.7.2 برطرف کردند.

در نسخه جدید، اصلاحات امنیتی در چند بخش مختلف اعمال شده است تا صرفاً یک مسیر حمله مسدود نشود، بلکه کل زنجیره مورد استفاده برای بهره‌برداری شکسته شود.

جلوگیری از ورود داده سریال‌شده مخرب

فرایند پردازش کمک مالی اکنون داده‌های سریال‌شده مشکوک را بررسی و از ذخیره شدن آن‌ها جلوگیری می‌کند.

محدود کردن ایجاد اشیای PHP

نقاطی که داده‌های ذخیره‌شده را مجدداً پردازش می‌کنند نیز تغییر کرده‌اند تا امکان ایجاد کلاس‌های PHP ناخواسته محدود شود.

اصلاح Gadget Chain

یکی از کلاس‌هایی که می‌توانست در زنجیره اجرای دستور مورد سوءاستفاده قرار گیرد نیز اصلاح شده است تا دیگر امکان فراخوانی آزادانه توابع کنترل‌شده توسط مهاجم را فراهم نکند.

پاک‌سازی داده‌های مخرب موجود در پایگاه داده

یکی از اقدامات مهم نسخه جدید، بررسی و پاک‌سازی اشیای سریال‌شده‌ای است که ممکن است پیش از نصب به‌روزرسانی در بخش‌هایی از پایگاه داده ذخیره شده باشند.

این موضوع اهمیت زیادی دارد، زیرا تنها به‌روزرسانی کد افزونه ممکن است برای سایتی که قبلاً داده مخرب در پایگاه داده آن قرار گرفته کافی نباشد.

مدیران سایت‌های وردپرسی چه اقدامی انجام دهند؟

مدیران وب‌سایت‌هایی که از GiveWP استفاده می‌کنند باید ابتدا نسخه نصب‌شده افزونه را بررسی کنند.

اگر نسخه 4.16.7.1 یا قدیمی‌تر روی سایت نصب شده است، توصیه می‌شود GiveWP در سریع‌ترین زمان ممکن به نسخه 4.16.7.2 یا جدیدتر ارتقا داده شود.

همچنین بهتر است مدیران سایت:

• افزونه GiveWP را به آخرین نسخه موجود به‌روزرسانی کنند.

• کاربران ناشناس یا تازه ایجادشده سایت را بررسی کنند.

• لاگ‌های سرور و وردپرس را برای فعالیت‌های غیرعادی کنترل کنند.

• نسخه وردپرس، قالب و سایر افزونه‌ها را نیز به‌روز نگه دارند.

• از یک راهکار امنیتی یا فایروال مناسب برای وب‌سایت وردپرسی استفاده کنند.

• در صورت مشاهده علائم نفوذ، پایگاه داده و فایل‌های سرور را به‌صورت تخصصی بررسی کنند.

چرا آسیب‌پذیری GiveWP اهمیت زیادی دارد؟

شدت بالای این آسیب‌پذیری به این دلیل است که بهره‌برداری موفق از آن صرفاً به تغییر اطلاعات یک فرم یا دسترسی به بخش کوچکی از سایت محدود نمی‌شود.

اجرای دستورات روی سرور می‌تواند بسته به سطح دسترسی سرویس وب، پیامدهایی مانند دستکاری فایل‌های وب‌سایت، نصب بدافزار، سرقت اطلاعات، ایجاد دسترسی پایدار برای مهاجم یا استفاده از سرور برای حملات بعدی داشته باشد.

GiveWP سال گذشته نیز در یک حمله امنیتی دیگر مورد توجه مهاجمان قرار گرفته بود. در آن رخداد، مهاجمان با هدف قرار دادن زیرساخت مرتبط با GiveWP توانستند به اطلاعات نام و ایمیل حدود ۳۰ هزار اهداکننده مرتبط با Pi-hole دسترسی پیدا کنند.

جمع‌بندی؛ GiveWP را فوراً به‌روزرسانی کنید

آسیب‌پذیری CVE-2026-82222 نمونه‌ای از نقص‌هایی است که ترکیب چند ضعف کوچک در یک نرم‌افزار می‌تواند آن را به یک مشکل امنیتی بسیار جدی تبدیل کند.

در این مورد، نحوه پردازش داده‌های سریال‌شده، ذخیره داده‌های کنترل‌شده توسط کاربران و وجود کلاس‌های قابل سوءاستفاده در کنار یکدیگر باعث شدند شرایط برای اجرای کد از راه دور فراهم شود.

اگر وب‌سایت شما از افزونه GiveWP استفاده می‌کند، نصب نسخه 4.16.7.2 یا جدیدتر باید در اولویت قرار گیرد. به‌روزرسانی سریع افزونه‌ها و بررسی منظم وضعیت امنیتی سایت همچنان یکی از مهم‌ترین اقدامات برای کاهش ریسک حملات علیه وب‌سایت‌های وردپرسی است.