→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-109978 · cozy-addons

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Cozy Blocks

افزونه Cozy Blocks برای وردپرس در همه نسخه‌های تا ۲.۲.۲۷ به‌دلیل پاک‌سازی ناکافی ورودی و فراردهی ناکافی خروجی در پارامتر productRating.iconColor در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) آسیب‌پذیر است. مهاجم احرازهویت‌شده با دسترسی سطح مشارکت‌کننده (Contributor) یا بالاتر می‌تواند اسکریپت دلخواه را در صفحات ذخیره کند تا هنگام بازدید کاربر اجرا شود؛ این مسیر فقط وقتی در دسترس است که گزینه productRating فعال باشد و محصول ووکامرس مرتبط امتیاز غیرصفر داشته باشد. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا با فایروال وب ورودی‌های مشکوک را محدود نمایید.