→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-105262 · falang-multilanguage-for
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Falang multilanguage for
افزونه Falang Multilanguage برای وردپرس فاقد بررسی سطح دسترسی مناسب هنگام ذخیره‌سازی ترجمه اصطلاحات است و یک nonce معتبر را در اختیار کاربران لاگین‌شده قرار می‌دهد. این نقص امنیتی به کاربران با سطح دسترسی مشترک (Subscriber) و بالاتر اجازه می‌دهد محتوای مخرب تزریق کنند که بعداً بدون پاکسازی مناسب اجرا شده و منجر به تزریق اسکریپت ذخیره‌شده (Stored XSS) در پنل کاربران دارای سطح دسترسی بالاتر مانند مدیران می‌گردد. با توجه به اینکه تاکنون پچ رسمی برای این آسیب‌پذیری منتشر نشده است، اکیداً توصیه می‌شود موقتاً افزونه را غیرفعال کرده یا از قوانین حفاظتی فایروال وب (WAF) استفاده کنید.
نسخه‌های تحت تأثیر
<= 1.4.6
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته falang-multilanguage-for را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.