تزریق اسکریپت ذخیره‌شده (Stored XSS) در هسته وردپرس
هسته وردپرس در نسخه‌های ۵٫۰ تا ۷٫۱٫۳ در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق تجزیه جداکننده بلوک آسیب‌پذیر است. این نقص از ناسازگاری در مدیریت فاصله‌های خالی بین تجزیه‌گر بلوک سمت سرور (PHP) و تجزیه‌گر بلوک سمت کلاینت (JavaScript) ناشی می‌شود و به مهاجم احرازهویت‌شده با دسترسی مشارکت‌کننده (Contributor) یا بالاتر اجازه می‌دهد اسکریپت‌های وب دلخواه را تزریق کند که هنگام پردازش محتوای دستکاری‌شده توسط کاربر دارای امتیاز اجرا می‌شوند. چون وصله امنیتی منتشر شده است، وردپرس را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
>= 5.0.0 & <= 5.0.30, >= 5.1.0 & <= 5.1.27, >= 5.2.0 & <= 5.2.29, >= 5.3.0 & <= 5.3.26, >= 5.4.0 & <= 5.4.24, >= 5.5.0 & <= 5.5.23, >= 5.6.0 & <= 5.6.22, >= 5.7.0 & <= 5.7.20, >= 5.8.0 & <= 5.8.18, >= 5.9.0 & <= 5.9.19, >= 6.0.0 & <= 6.0.17, >= 6.1.0 & <= 6.1.15, >= 6.2.0 & <= 6.2.14, >= 6.3.0 & <= 6.3.13, >= 6.4.0 & <= 6.4.13, >= 6.5.0 & <= 6.5.13, >= 6.6.0 & <= 6.6.10, >= 6.7.0 & <= 6.7.10, >= 6.8.0 & <= 6.8.11, >= 6.9.0 & <= 6.9.10, >= 7.0.0 & <= 7.0.7, >= 7.1.0 & <= 7.1.3
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wordpress را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.