→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-110504 · enable-svg-webp-and-ico-upload
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Enable SVG, WebP, and ICO Upload
افزونه Enable SVG, WebP, and ICO Upload در نسخه‌های ۱.۱.۶ و پایین‌تر، فایل‌های SVG بارگذاری‌شده‌ای را که محتوایشان به‌عنوان SVG شناسایی نمی‌شود پاک‌سازی نمی‌کند، اما همچنان آن‌ها را به‌صورت تصویر SVG ذخیره و ارائه می‌دهد. در نتیجه، کاربری با نقش نویسنده (Author) یا بالاتر می‌تواند اسکریپت مخرب را در سایت ذخیره کند و بازدیدکنندگان را در معرض تزریق اسکریپت ذخیره‌شده (Stored XSS) قرار دهد. تاکنون وصله رسمی برای این آسیب‌پذیری منتشر نشده است؛ بنابراین از نصب یا ادامه استفاده از نسخه آسیب‌پذیر خودداری کنید، افزونه را موقتاً غیرفعال کنید یا با فایروال وب (WAF) خطر را کاهش دهید.
نسخه‌های تحت تأثیر
<= 1.1.6
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته enable-svg-webp-and-ico-upload را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.