→ برگشت به فید آسیب‌پذیری‌ها
3d59700b-3540-464c-bd27-23bb71f9b082 · wordpress
تزریق اسکریپت ذخیره‌شده (Stored XSS) در هسته وردپرس
هسته وردپرس تا نسخه ۷.۱ به دلیل sanitization ناکافی مقادیر عرض، ارتفاع و URL تصویر هدر سفارشی در theme mod مربوطه و عدم escape کردن attribute style در صفحه مدیریت هدر سفارشی، آسیب‌پذیر به تزریق اسکریپت ذخیره‌شده است. مهاجمان احراز هویت‌شده با قابلیت edit_theme_options می‌توانند اسکریپت‌های مخرب تزریق کنند که این موضوع عمدتاً در سایت‌های Multisite که مدیران فاقد unfiltered_html هستند، خطرناک است. با توجه به وجود وصله امنیتی، توصیه می‌شود فوراً وردپرس را به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 6.6.7, >= 6.7 & <= 6.7.7, >= 6.8 & <= 6.8.8, >= 6.9 & <= 6.9.7, >= 7.0 & <= 7.0.4, >= 7.1 & <= 7.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wordpress را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.