→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-109936 · otter-blocks
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Otter Blocks
افزونه Otter Blocks در نسخه‌های 3.2.8 و پایین‌تر، هنگام بازنویسی توکن‌های محتوای پویا در بلوک‌ها، الگوی مورد استفاده را به‌درستی محدود نمی‌کند؛ در نتیجه این الگو می‌تواند نقل‌قول پایان‌دهنده یک ویژگی HTML را مصرف کرده و داده‌های فرارنشده مجاور را به‌صورت ویژگی‌های جدید وارد نشانه‌گذاری صفحه کند. این نقص به کاربران احراز هویت‌نشده اجازه می‌دهد اسکریپت ذخیره‌شده‌ای تزریق کنند که در مرورگر هر بازدیدکننده صفحه آسیب‌دیده، از جمله مدیر واردشده به سایت، اجرا شود. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا با دیوار آتش وب (WAF) ورودی‌های مشکوک را محدود نمایید.
نسخه‌های تحت تأثیر
<= 3.2.8
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته otter-blocks را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.