→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-109216 · meta-box

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Meta Box

افزونه Meta Box در همه نسخه‌ها تا ۵.۱۵.۲ به‌دلیل پاک‌سازی ناکافی ورودی و گریز ناکافی خروجی، از طریق پارامتر profile_background در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) آسیب‌پذیر است. مهاجم احرازهویت‌شده با دسترسی سطح مشترک (Subscriber) یا بالاتر می‌تواند اسکریپت دلخواه را در صفحات ذخیره کند تا هنگام بازدید کاربران اجرا شود؛ بهره‌برداری به افزونه یا قالبی وابسته است که این فیلد را در اختیار کاربران کم‌امتیاز بگذارد و مقدار ذخیره‌شده را نمایش دهد. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا از فایروال وب (WAF) استفاده کنید.