→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-102918 · redux-framework

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Redux Framework

متوسط plugin CVSS 6.4

افزونه Redux Framework در نسخه‌های ۴.۵.۱۵ و پایین‌تر در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق فیلد multi_media آسیب‌پذیر است؛ مقدار ذخیره‌شده بدون escape مناسب در خروجی HTML قرار می‌گیرد و بررسی مجوز فیلد نیز به‌درستی به کاربر جاری محدود نمی‌شود. مهاجم احرازهویت‌شده با دسترسی سطح Subscriber یا بالاتر می‌تواند اسکریپت مخرب را در سایت ذخیره کند تا در مرورگر مدیران یا بازدیدکنندگان اجرا شود و به سرقت نشست، تغییر محتوا یا اقدامات ناخواسته منجر گردد. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا با فایروال وب (WAF) ورودی‌ها و خروجی‌های مرتبط را محدود نمایید.

نسخه‌های تحت تأثیر

<= 4.5.15

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته redux-framework را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Redux Framework

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر