→ برگشت به فید آسیب‌پذیری‌ها
CVE-2025-7963 · easy-waveform-player
اسکریپت‌نویسی بین‌سایتی ذخیره‌شده (Stored XSS) در افزونه Easy Waveform Player
افزونه Easy Waveform Player وردپرس تا نسخه ۱.۲.۲ به دلیل پاکسازی ناکافی ورودی و عدم escape مناسب خروجی در تابع shortcode_easywaveformplayer() در برابر آسیب‌پذیری Stored XSS آسیب‌پذیر است. مهاجمان احراز هویت‌شده با سطح دسترسی Contributor و بالاتر می‌توانند اسکریپت‌های مخرب را در صفحات تزریق کنند که هنگام بازدید کاربران اجرا شده و منجر به سرقت نشست‌ها، تغییر محتوا یا حملات بیشتر می‌شود. به‌روزرسانی فوری افزونه به نسخه جدیدتر برای رفع این آسیب‌پذیری ضروری است.
نسخه‌های تحت تأثیر
<= 1.2.2
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته easy-waveform-player را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/easy-waveform-player/trunk/includes/class-easywaveformplayer.php#L304 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3674516%40easy-waveform-player&new=3674516%40easy-waveform-player ↗
- https://wordpress.org/plugins/easy-waveform-player/#developers ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/73347ab9-2248-4402-85bf-8996b342501b?source=cve ↗