→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-107790 · hirezoot
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه HireZoot
افزونه HireZoot وردپرس تا نسخه 4.1.1 ورودی‌های داده را به درستی پاکسازی و ایمن‌سازی نکرده و کدهای مخرب را در پیشخوان مدیریت اجرا می‌کند. این آسیب‌پذیری به کاربران با نقش نویسنده اجازه می‌دهد تا حملات تزریق اسکریپت ذخیره‌شده (Stored XSS) را اجرا کنند که در بستر نشست مدیر سایت فعال می‌شود. از آنجا که این باگ فاقد وصله امنیتی است، اکیداً توصیه می‌شود تا زمان انتشار به‌روزرسانی رسمی، این افزونه را غیرفعال کرده یا از فایروال وب (WAF) استفاده کنید.
نسخه‌های تحت تأثیر
<= 4.1.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته hirezoot را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.