→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-100185 · directorist

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Directorist: AI-Powered Business Directory, Listings & Classified Ads

افزونه Directorist (دایرکتوری کسب‌وکار، آگهی و طبقه‌بندی مبتنی بر هوش مصنوعی) در همه نسخه‌های تا ۸.۱۰.۲.۱ به‌دلیل پاک‌سازی ناکافی ورودی و گریز ناکافی خروجی در فیلد phone آگهی‌ها، در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) آسیب‌پذیر است. مهاجم احرازهویت‌شده با سطح دسترسی مشترک (Subscriber) و بالاتر می‌تواند اسکریپت دلخواه را در صفحات ذخیره کند تا هنگام بازدید کاربران اجرا شود؛ این امکان به‌خاطر اعطای قابلیت‌های edit_at_biz_dirs و publish_at_biz_dirs به نقش مشترک و انتشار آگهی بدون بازبینی فراهم می‌شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا از فایروال وب (WAF) برای کاهش خطر استفاده کنید.