→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-104726 · name-directory

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Name Directory

افزونه Name Directory برای وردپرس در همه نسخه‌های تا ۱.۳۴.۲ و از جمله آن، به‌دلیل پاک‌سازی ناکافی ورودی و فراردهی ناکافی خروجی، از طریق ویژگی شورت‌کد dir در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) آسیب‌پذیر است. مهاجمان احرازهویت‌شده با سطح دسترسی مشارکت‌کننده (Contributor) یا بالاتر می‌توانند اسکریپت‌های وب دلخواه را در صفحات تزریق کنند که با بازدید هر کاربر از صفحه آلوده اجرا می‌شود. وصله رسمی تاکنون منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا از فایروال وب‌اپلیکیشن استفاده کنید و از نصب یا ادامه استفاده از نسخه آسیب‌پذیر خودداری نمایید.