→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-103480 · tourfic

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Tourfic

افزونه Tourfic در نسخه‌های ۳.۰.۱ و قبل از آن، به‌دلیل پاک‌سازی ناکافی ورودی و گریز نادرست خروجی پارامتر type، در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) آسیب‌پذیر است. مهاجم احراز هویت‌شده با دسترسی مشارکت‌کننده یا بالاتر می‌تواند اسکریپت دلخواه را در صفحات ذخیره کند تا هنگام بازدید کاربران، از جمله مهمان‌ها، در مرورگر آن‌ها اجرا شود. وصله رسمی هنوز منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا با فایروال وب ورودی‌های مشکوک را محدود نمایید و از اتکا به نسخه‌های آسیب‌پذیر خودداری کنید.