→ برگشت به فید آسیب‌پذیری‌ها
CVE-2025-15701 · easy-social-icons
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Easy Social Icons
افزونه Easy Social Icons در نسخه‌های تا 4.0.3 برخی از تنظیمات خود را پیش از نمایش در صفحات فرانت‌اند بهادرزاری و پاکسازی نمی‌کند. این آسیب‌پذیری به کاربران با دسترسی بالا مانند مدیران سایت اجازه می‌دهد تا حملات تزریق اسکریپت ذخیره‌شده را در شرایطی که قابلیت unfiltered_html غیرفعال است (مانند شبکه‌های چندسایتی) اجرا کنند. از آنجایی که تاکنون پچ رسمی برای این مسئله منتشر نشده است، توصیه می‌شود تا زمان ارائه به‌روزرسانی امنیتی، موقتاً این افزونه را غیرفعال کرده یا از قوانین فایروال برای مسدودسازی درخواست‌های مخرب استفاده کنید.
نسخه‌های تحت تأثیر
<= 4.0.3
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته easy-social-icons را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.