→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-109983 · ymc-smart-filter
تزریق اسکریپت از طریق وب (XSS) در افزونه YMC Filter
افزونه YMC Filter وردپرس تا نسخه 3.12.19 به دلیل عدم اعتبارسنجی کافی ورودی‌ها و پاکسازی خروجی در پارامتر 'post_title'، در برابر آسیب‌پذیری تزریق اسکریپت ذخیره‌شده از طریق DOM آسیب‌پذیر است. مهاجمان با سطح دسترسی نویسنده یا بالاتر می‌توانند کدهای مخرب را تزریق کنند و کاربران ناشناس نیز با جستجو در کادر فیلتر می‌توانند این اسکریپت‌ها را اجرا نمایند. از آنجا که این نقص فاقد پچ رسمی است، اکیداً توصیه می‌شود موقتاً افزونه را غیرفعال کرده یا از قوانین فایروال وب (WAF) استفاده کنید.
نسخه‌های تحت تأثیر
<= 3.12.19
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته ymc-smart-filter را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/ymc-smart-filter/tags/3.12.19/ymc2/assets/js/frontend/ymc-public.min.js#L10 ↗
- https://plugins.trac.wordpress.org/browser/ymc-smart-filter/tags/3.12.19/ymc2/src/api/abstracts/FG_REST_Abstract_Controller.php#L66 ↗
- https://plugins.trac.wordpress.org/browser/ymc-smart-filter/tags/3.12.19/ymc2/src/api/controllers/frontend/FG_REST_Frontend_Search_Controller.php#L135 ↗
- https://plugins.trac.wordpress.org/browser/ymc-smart-filter/tags/3.12.19/ymc2/src/api/controllers/frontend/FG_REST_Frontend_Search_Controller.php#L148 ↗
- https://plugins.trac.wordpress.org/browser/ymc-smart-filter/tags/3.12.20/ymc2/src/api/controllers/frontend/FG_REST_Frontend_Search_Controller.php ↗
- https://wordpress.org/plugins/ymc-smart-filter ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/27cfa62d-ba16-4344-be0c-82cac4d21d1c?source=cve ↗