→ برگشت به فید آسیب‌پذیری‌ها
CVE-2024-3586 · letterpress
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه LetterPress
افزونه LetterPress وردپرس در نسخه‌های ۲.۴.۰ و پایین‌تر برخی تنظیمات خود را به‌درستی پاک‌سازی و گریز (escape) نمی‌کند. به همین دلیل کاربران با سطح دسترسی بالا، مانند مدیر، می‌توانند حتی وقتی قابلیت unfiltered_html غیرفعال است (مثلاً در نصب چندسایته) حملات تزریق اسکریپت ذخیره‌شده (Stored XSS) انجام دهند و اسکریپت مخرب را در سایت ذخیره کنند که بعداً در مرورگر بازدیدکنندگان اجرا می‌شود. تاکنون وصله رسمی برای این آسیب‌پذیری منتشر نشده است؛ بنابراین از نصب یا ادامه استفاده از نسخه آسیب‌پذیر خودداری کنید، افزونه را موقتاً غیرفعال کنید و در صورت امکان از فایروال برنامه‌های وب (WAF) برای کاهش خطر بهره ببرید.
نسخه‌های تحت تأثیر
<= 2.4.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته letterpress را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.