→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-103485 · extensions-leaflet-map

تزریق اسکریپت از طریق وب (XSS) در افزونه Extensions for Leaflet Map

افزونه Extensions for Leaflet Map وردپرس در همه نسخه‌های تا ۵.۴ (شامل همین نسخه) به‌دلیل پاک‌سازی ناکافی ورودی و گریز ناکافی خروجی، از طریق پارامتر feature.properties[<template-token>] در برابر تزریق اسکریپت ذخیره‌شده مبتنی بر DOM آسیب‌پذیر است. مهاجم بدون احراز هویت می‌تواند اسکریپت وب دلخواه را در صفحه تزریق کند تا هنگام بازدید کاربر اجرا شود؛ این وضعیت تنها وقتی رخ می‌دهد که مدیر سایت از قبل نقشه‌ای عمومی را با ترکیب شورت‌کدهای leaflet-map، leaflet-geojson و choropleth طوری پیکربندی کرده باشد که نشانی منبع GeoJSON تحت کنترل مهاجم باشد. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار اصلاحیه، افزونه را موقتاً غیرفعال کنید یا با فایروال برنامه‌های وب (WAF) خطر را کاهش دهید.