→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-105259 · easy-social-icons
تزریق اسکریپت از طریق وب (XSS) در افزونه Easy Social Icons
افزونه easy-social-icons در نسخه‌های 4.0.3 و پایین‌تر، فایل‌های SVG بارگذاری‌شده را به درستی پاکسازی نمی‌کند و اجازه آپلود آن‌ها را می‌دهد. این نقص امنیتی به کاربران با سطح دسترسی نویسنده و بالاتر (و در برخی سناریوها به کاربران احرازویت‌نشده) اجازه می‌دهد تا با آپلود فایل‌های مخرب SVG، کدهای مخرب XSS را اجرا کنند. از آنجا که این افزونه تاکنون پچ رسمی دریافت نکرده است، اکیداً توصیه می‌شود تا زمان انتشار وصله امنیتی، افزونه را به‌صورت موقت غیرفعال کرده یا از قوانین حفاظتی فایروال استفاده کنید.
نسخه‌های تحت تأثیر
<= 4.0.3
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته easy-social-icons را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.