→ برگشت به فید آسیب‌پذیری‌ها CVE-2025-14945 · events-manager

آسیب‌پذیری اسکریپت‌میان‌وبگاهی ذخیره‌شده (Stored XSS) در افزونه Events Manager

متوسط plugin CVSS 5.4

این افزونه از نسخه ۷.۳.۳ و ماقبل آن به دلیل عدم پاکسازی مناسب ورودی‌ها و عدم درج گریزهای خروجی (Output Escaping) در مقادیر ویژگی‌های رویداد، در برابر آسیب‌پذیری Stored XSS آسیب‌پذیر است. مهاجمان احراز هویت شده با سطح دسترسی نویسنده و بالاتر (یا کاربران ناشناس در صورت فعال بودن ثبت رویداد ناشناس) می‌توانند اسکریپت‌های مخرب وب را تزریق کنند که با مشاهده صفحه رویداد اجرا می‌شود. توصیه می‌شود فوری افزونه را به نسخه امن به‌روزرسانی کنید.

نسخه‌های تحت تأثیر

<= 7.3.3

راهنمای اقدام و رفع مشکل (Remediation)

  • ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
  • ۲. به‌روزرسانی سریع: افزونه یا هسته events-manager را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
  • ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر

گزارش‌های امنیتی مرتبط جهت رصد لحظه‌ای و ارتقای امنیت وردپرس:

CVE-2026-93662 · events-manager متوسط
آسیب‌پذیری امنیتی در افزونه Events Manager
امتیاز CVSS: 4.3 بررسی گزارش ←
CVE-2026-93661 · events-manager پایین
آسیب‌پذیری امنیتی در افزونه Events Manager
امتیاز CVSS: 2.7 بررسی گزارش ←
CVE-2026-57713 · events-manager بالا
تزریق اشیاء PHP (Object Injection) در افزونه Events Manager – Calendar, Bookings, Tickets, and more!
امتیاز CVSS: 8.1 بررسی گزارش ←
CVE-2026-66457 · events-manager بالا
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Events Manager – Calendar, Bookings, Tickets, and more!
امتیاز CVSS: 7.2 بررسی گزارش ←
CVE-2026-12987 · events-manager بالا
تزریق کدهای SQL (SQLi) در افزونه Events Manager – Calendar, Bookings, Tickets, and more!
امتیاز CVSS: 7.5 بررسی گزارش ←
CVE-2026-17089 · events-manager متوسط
تزریق اسکریپت بازتابی (Reflected XSS) در افزونه Events Manager
امتیاز CVSS: 6.1 بررسی گزارش ←