→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-108041 · seopress
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه SEOPress
افزونه SEOPress در نسخه‌های آسیب‌پذیر، برخی تنظیمات ردیابی آنالیتیکس را پیش از درج در اسکریپت درون‌خطی همه صفحات عمومی سایت پاک‌سازی و escape نمی‌کند. کاربری که قابلیت مرتبط با SEOPress را دارد — قابلیتی که مدیر سایت می‌تواند به نقش‌های با دسترسی پایین‌تر واگذار کند — می‌تواند اسکریپت مخرب را ذخیره کند تا در مرورگر هر بازدیدکننده، از جمله مدیر واردشده به بخش عمومی سایت، اجرا شود. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا با فایروال وب (WAF) این مسیر را محدود کنید.
نسخه‌های تحت تأثیر
<= 10.4
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته seopress را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.