→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-106933 · blaze-demo-importer
آسیب‌پذیری تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه وردپرس Blaze Demo Importer
افزونه Blaze Demo Importer تا نسخه 1.0.17 فایل‌های SVG بارگذاری شده را پاکسازی نمی‌کند و نوع MIME مربوط به SVG را بدون محدودیت در کتابخانه رسانه وردپرس ثبت می‌نماید. این ضعف امنیتی به کاربران احرازویت‌شده با نقش نویسنده یا بالاتر اجازه می‌دهد تا با آپلود یک فایل SVG دستکاری‌شده، کدهای مخرب جاوااسکریپت را در مرورگر هر کاربری که فایل را باز کند اجرا کنند. از آنجایی که پچ رسمی هنوز منتشر نشده است، اکیداً توصیه می‌شود این افزونه را تا انتشار به‌روزرسانی موقتاً غیرفعال کنید یا از یک فایروال جهت مسدودسازی درخواست‌های مرتبط بهره ببرید.
نسخه‌های تحت تأثیر
<= 1.0.17
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته blaze-demo-importer را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.