CVE-2025-10380

چکیده

آسیب‌پذیری در پلاگین Advanced Views – Display Posts, Custom Fields, and More برای وردپرس نسخه‌های 3.7.19 و پایین‌تر، به دلیل عدم پاک‌سازی مناسب المنت های خاص در موتور تمپلیت Twig و عدم کنترل دسترسی در پنل Model است. این ضعف امنیتی امکان تزریق تمپلیت سمت سرور (Server-Side Template Injection – SSTI) را فراهم کرده و به مهاجمان با دسترسی author یا بالاتر اجازه می‌دهد کد PHP و دستورات دلخواه را روی سرور اجرا کنند که می‌تواند زمینه‌ساز اجرای کد از راه دور (RCE) و کنترل کامل سرور شود.

توضیحات

آسیب‌پذیری CVE-2025-10380 در پلاگین Advanced Views که برای نمایش پست‌ها، فیلدهای سفارشی و محتوا در وردپرس استفاده می‌شود، ناشی از عدم پاک‌سازی مناسب ورودی‌ها و عدم کنترل دسترسی کافی در پردازش تمپلیت های سفارشی Twig در پنل Model است که مطابق با CWE-1336 طبقه‌بندی می‌شود.

این ضعف که در تمام نسخه‌های 3.7.19 و پایین‌تر وجود دارد امکان تزریق تمپلیت سمت سرور (Server-Side Template Injection – SSTI) را فراهم کرده و به مهاجمان احراز هویت‌شده با سطح دسترسی author یا بالاتر اجازه می‌دهد با تزریق کد مخرب در تمپلیت های Twig، کد PHP دلخواه یا دستورات سیستم را روی سرور اجرا کنند.

این آسیب‌پذیری از طریق شبکه با نیاز به احراز هویت سطح author و بدون نیاز به تعامل کاربر قابل بهره‌برداری است. مهاجم می‌تواند با دسترسی به پنل Model، تمپلیت های Twig مخرب را ذخیره کرده و زمینه اجرای کد از راه دور(RCE) را فراهم کند.

پیامدهای آن شامل نقض شدید محرمانگی با دسترسی به داده‌های سرور، یکپارچگی با تغییر فایل‌ها یا تنظیمات و در دسترس‌پذیری با ایجاد اختلال یا حتی کنترل کامل سرور است. توسعه‌دهندگان پلاگین این آسیب پذیری را در نسخه 3.7.20 با بهبود پاک‌سازی ورودی‌ها (input sanitization) و افزودن کنترل دسترسی (access control) پچ کرده‌اند.

CVSS

 لیست محصولات آسیب پذیر

لیست محصولات بروز شده

 استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که پلاگین Advanced Views و Custom Fields Advanced را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

 نتیجه گیری

این آسیب‌پذیری در پلاگین Advanced Views، به دلیل امکان تزریق تمپلیت سمت سرور (SSTI) توسط کاربران با دسترسی author یا بالاتر، تهدیدی جدی برای سایت‌های وردپرسی ایجاد می‌کند و می‌تواند منجر به اجرای کد از راه دور (RCE) و کنترل کامل سرور شود. برای کاهش ریسک و جلوگیری از بهره‌برداری، اقدامات زیر توصیه می‌شود:

• به‌روزرسانی فوری: پلاگین Advanced Views را به نسخه 3.7.20 یا بالاتر به‌روزرسانی کنید تا اصلاحات پاک‌سازی ورودی‌ها (input sanitization) و کنترل دسترسی (access control) اعمال شود.
• محدودسازی دسترسی author: دسترسی author و بالاتر را فقط به کاربران قابل اعتماد اعطا کنید و از احراز هویت چندعاملی (MFA) بهره ببرید.
• اعتبارسنجی تمپلیت ها: تمام تمپلیت های Twig را قبل از ذخیره‌سازی پاک‌سازی و اعتبارسنجی کنید تا از تزریق کد مخرب جلوگیری شود.
• نظارت بر سرور: لاگ‌های سرور را برای شناسایی اجرای دستورات غیرمنتظره یا فایل‌های مشکوک بررسی کنید.
• استفاده از پلاگین های امنیتی: از فایروال‌های وردپرس مانند Wordfence یا Sucuri برای مسدود کردن تلاش‌های تمپلیت سمت سرور یا اجرای کد از راه دور استفاده کنید.
• پشتیبان‌گیری: از پایگاه داده و فایل‌های سرور نسخه پشتیبان تهیه کرده و داده‌های حساس را رمزنگاری کنید.
• آموزش کاربران: مدیران سایت را در مورد ریسک تزریق تمپلیت سمت سرور، اجرای کد از راه دور و اهمیت به‌روزرسانی پلاگین ها آگاه کنید.

اجرای این اقدامات، ریسک اجرای کد از راه دور (RCE) را به حداقل رسانده و امنیت سایت‌های وردپرسی را در برابر آسیب پذیری های مرتبط با تمپلیت های Twig تقویت می‌کند.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)

ورود اولیه از طریق دسترسی احراز هویت‌شده با سطح author یا بالاتر به پنل Model پلاگین Advanced Views انجام می‌شود. مهاجم با این دسترسی می‌تواند تمپلیت‌های Twig را با محتوای مخرب تزریق کند.

Execution (TA0002)

تزریق Server-Side Template Injection (SSTI) باعث اجرای کد PHP یا دستورات سیستم روی سرور می‌شود. این کدها می‌توانند برای اجرای دستور دلخواه یا ایجاد دسترسی کامل به سرور استفاده شوند.

Persistence (TA0003)

تمپلیت‌های مخرب در پنل Model ذخیره می‌شوند و با هر بار بارگذاری صفحه یا پردازش تمپلیت توسط سرور، کد اجرا می‌شود، حتی پس از پایان نشست اولیه کاربر نیز ممکن است.

Privilege Escalation (TA0004)

با بهره‌برداری از SSTI، مهاجم می‌تواند محدودیت‌های سطح author را دور زده و دسترسی گسترده‌تری به سرور یا سایت وردپرسی کسب کند.

Defense Evasion (TA0005)

تزریق SSTI می‌تواند به صورت مخفیانه انجام شود. اگر CSP، فایروال یا دیگر سیاست‌های امنیتی فعال نباشند، فعالیت مهاجم ممکن است در لاگ‌ها شناسایی نشود.

Lateral Movement (TA0008)

پس از دسترسی موفق، مهاجم می‌تواند از اطلاعات و دسترسی به سرور برای حرکت به بخش‌های دیگر سایت یا شبکه داخلی استفاده کند.

Collection (TA0009)

مهاجم می‌تواند داده‌های سرور، اطلاعات پلاگین و محتوای وردپرس را جمع‌آوری و برای اهداف مخرب ذخیره یا ارسال کند.

Exfiltration (TA0010)

داده‌های جمع‌آوری‌شده می‌توانند به سرورهای مهاجم منتقل شوند، که باعث سرقت اطلاعات حساس، تغییر محتوای سایت یا اجرای دستورات دلخواه می‌شود.

Impact (TA0040)

پیامدهای این آسیب‌پذیری شامل نقض محرمانگی است که به مهاجم اجازه می‌دهد به داده‌های سرور و اطلاعات کاربران دسترسی پیدا کند. همچنین، این ضعف می‌تواند باعث اختلال در یکپارچگی شود و فایل‌ها و محتوای تمپلیت‌های Twig را تغییر دهد. کاهش دسترس‌پذیری نیز از دیگر پیامدهاست، به طوری که پردازش تمپلیت و عملکرد سایت دچار اختلال می‌شود. در نهایت، اجرای کد از راه دور (RCE) امکان‌پذیر است و مهاجم می‌تواند کدهای PHP یا دستورات سیستم را اجرا کرده و کنترل کامل سرور را به دست آورد.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-10380
2. https://www.cvedetails.com/cve/CVE-2025-10380/
3. https://www.wordfence.com/threat-intel/vulnerabilities/id/52b04517-f0be-4bbf-818c-70a12d76bfec?source=cve
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-10380
5. https://vuldb.com/?id.325568
6. https://plugins.trac.wordpress.org/browser/acf-views/tags/3.7.19/src/Template_Engines/Twig.php#L106
7. https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3364566%40acf-views&new=3364566%40acf-views&sfp_email=&sfph_mail=
8. https://nvd.nist.gov/vuln/detail/CVE-2025-10380
9. https://cwe.mitre.org/data/definitions/1336.html