یک آسیب‌پذیری جدید در cPanel با شناسه CVE-2026-67401 شناسایی شده است که به یک حساب میزبانی (Hosting Account) احراز هویت‌شده با مجوزهای مرتبط با ایمیل اجازه می‌دهد از طریق EmailTrack، فایل‌های دلخواه روی سرور ایجاد کرده و در نهایت کد را با دسترسی Root اجرا کند. این آسیب‌پذیری از نوع تزریق SQL (SQL Injection) گزارش شده و در صورت سوءاستفاده، می‌تواند منجر به کنترل کامل سرور شود. هنوز جزئیات فنی نحوه سوءاستفاده از این آسیب‌پذیری برای ایجاد فایل و اجرای کد با دسترسی Root منتشر نشده است. cPanel این آسیب‌پذیری را در نسخه‌های پشتیبانی‌شده با انتشار بیلدهای جدید برطرف کرده است.
آسیب‌پذیری CVE-2026-19949 با شدت بالا (High) در پلاگین پشتیبان‌گیری All-in-One WP Migration and Backup وردپرس شناسایی شده است. این آسیب‌پذیری از نوع تزریق SQL (SQL Injection) است و می‌تواند به مهاجمان بدون احراز هویت امکان اجرای کد از راه دور (RCE) و کنترل وب‌سایت‌های آسیب‌پذیر را بدهد. این پلاگین برای تهیه نسخه پشتیبان، خروجی گرفتن، وارد کردن اطلاعات و انتقال کامل وب‌سایت‌ها میان سرورها یا دامنه‌های مختلف طراحی شده است و امکان انتقال پایگاه داده، فایل‌های رسانه‌ای، قالب‌ها و سایر پلاگین‌ها را نیز فراهم می‌کند. این آسیب‌پذیری در پلاگین پشتیبان‌گیری وردپرس توسط یک پژوهشگر امنیتی به نام جک تیلور (Jack Taylor) شناسایی شد. تیلور در اواسط ماه آگوست، موضوع را از طریق Wordfence به تیم توسعه‌دهنده اطلاع داد.
یک آسیب‌پذیری از نوع XSS ذخیره‌شده (Stored XSS) در ابزار oRPC و در فرآیند تولید مستندات OpenAPI شناسایی شده است. در این ضعف امنیتی، داده‌های مربوط به مشخصات OpenAPI (Specification) هنگام تولید صفحه مستندات، از طریق تابع JSON.stringify() بدون انجام خروجی‌سازی مناسب مستقیماً در HTML قرار می‌گیرند.
پژوهشگران امنیت سایبری از شناسایی یک کمپین فعال ربایش ترافیک وب در مقیاس گسترده خبر داده‌اند که با سوءاستفاده از پیکربندی‌های مخرب NGINX و پنل‌های مدیریتی مانند Baota (BT Panel)، ترافیک وب‌سایت‌ها را از مسیر اصلی خارج کرده و از زیرساخت مهاجمان عبور می‌دهد. آزمایشگاه امنیت سایبری Datadog اعلام کرده
یک آسیب‌پذیری جدید در cPanel با شناسه CVE-2026-67401 شناسایی شده است که به یک حساب میزبانی (Hosting Account) احراز هویت‌شده با مجوزهای مرتبط با ایمیل اجازه می‌دهد از طریق EmailTrack، فایل‌های دلخواه روی سرور ایجاد کرده و در نهایت کد را با دسترسی Root اجرا کند. این آسیب‌پذیری از نوع تزریق SQL (SQL Injection) گزارش شده و در صورت سوءاستفاده، می‌تواند منجر به کنترل کامل سرور شود. هنوز جزئیات فنی نحوه سوءاستفاده از این آسیب‌پذیری برای ایجاد فایل و اجرای کد با دسترسی Root منتشر نشده است. cPanel این آسیب‌پذیری را در نسخه‌های پشتیبانی‌شده با انتشار بیلدهای جدید برطرف کرده است.
آسیب‌پذیری CVE-2026-19949 با شدت بالا (High) در پلاگین پشتیبان‌گیری All-in-One WP Migration and Backup وردپرس شناسایی شده است. این آسیب‌پذیری از نوع تزریق SQL (SQL Injection) است و می‌تواند به مهاجمان بدون احراز هویت امکان اجرای کد از راه دور (RCE) و کنترل وب‌سایت‌های آسیب‌پذیر را بدهد. این پلاگین برای تهیه نسخه پشتیبان، خروجی گرفتن، وارد کردن اطلاعات و انتقال کامل وب‌سایت‌ها میان سرورها یا دامنه‌های مختلف طراحی شده است و امکان انتقال پایگاه داده، فایل‌های رسانه‌ای، قالب‌ها و سایر پلاگین‌ها را نیز فراهم می‌کند. این آسیب‌پذیری در پلاگین پشتیبان‌گیری وردپرس توسط یک پژوهشگر امنیتی به نام جک تیلور (Jack Taylor) شناسایی شد. تیلور در اواسط ماه آگوست، موضوع را از طریق Wordfence به تیم توسعه‌دهنده اطلاع داد.
یک آسیب‌پذیری از نوع XSS ذخیره‌شده (Stored XSS) در ابزار oRPC و در فرآیند تولید مستندات OpenAPI شناسایی شده است. در این ضعف امنیتی، داده‌های مربوط به مشخصات OpenAPI (Specification) هنگام تولید صفحه مستندات، از طریق تابع JSON.stringify() بدون انجام خروجی‌سازی مناسب مستقیماً در HTML قرار می‌گیرند.
پژوهشگران امنیت سایبری از شناسایی یک کمپین فعال ربایش ترافیک وب در مقیاس گسترده خبر داده‌اند که با سوءاستفاده از پیکربندی‌های مخرب NGINX و پنل‌های مدیریتی مانند Baota (BT Panel)، ترافیک وب‌سایت‌ها را از مسیر اصلی خارج کرده و از زیرساخت مهاجمان عبور می‌دهد. آزمایشگاه امنیت سایبری Datadog اعلام کرده
