→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-100182 · download-monitor
آسیب‌پذیری تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه وردپرس Download Monitor
افزونه Download Monitor وردپرس تا نسخه 5.2.10 به دلیل عدم پاکسازی کافی ورودی‌ها و عدم درج صحیح خروجی‌ها، در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق پیام بین‌مبدا (Cross-Origin postMessage) آسیب‌پذیر است. این نقص اجازه می‌دهد مهاجمان احرازویت‌نشده با فریب یک مدیر سایت برای بازدید از یک صفحه مخرب، کدهای مخرب را تزریق کرده و از طریق قابلیت unfiltered_html ذخیره کنند. توصیه می‌شود برای رفع این آسیب‌پذیری، افزونه را بلافاصله به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 5.2.10
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته download-monitor را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://www.wordfence.com/threat-intel/vulnerabilities/id/59d4c073-af86-4e60-87f5-94cc46f407a2?source=api-prod ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/59d4c073-af86-4e60-87f5-94cc46f407a2 ↗
- https://plugins.trac.wordpress.org/browser/download-monitor/tags/5.2.10/assets/js/download-operations.js#L11 ↗
- https://plugins.trac.wordpress.org/browser/download-monitor/tags/5.2.10/assets/js/download-operations.js#L34 ↗
- https://plugins.trac.wordpress.org/browser/download-monitor/tags/5.2.10/src/Admin/AdminScripts.php#L56 ↗
- https://plugins.trac.wordpress.org/browser/download-monitor/tags/5.2.10/src/Shortcodes.php#L285 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3716767%40download-monitor&new=3716767%40download-monitor ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/59d4c073-af86-4e60-87f5-94cc46f407a2?source=cve ↗