→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-110981 · wp-photo-album-plus
آسیب‌پذیری تزریق اسکریپت از طریق وب (XSS) در افزونه وردپرس WP Photo Album Plus
افزونه WP Photo Album Plus تا نسخه 9.2.11.002 مقادیر ناوبری دسته‌بندی را پیش از بازتاب در یک کنترل‌کننده رویداد جاوااسکریپت در لینک‌های بردکرامب گالری بهوبی پاکسازی و ایمن‌سازی نمی‌کند. مهاجمان احراز هویت‌نشده می‌توانند با فریب دادن کاربران برای کلیک روی یک لینک دستکاری‌شده، اسکریپت‌های مخرب را در مرورگر قربانیان (از جمله مدیران سایت) اجرا کنند. با توجه به عدم انتشار پچ رسمی برای این آسیب‌پذیری، اکیداً توصیه می‌شود تا زمان ارائه آپدیت، موقتاً این افزونه را غیرفعال کرده یا از یک وب‌اپلیکیشن فایروال (WAF) استفاده کنید.
نسخه‌های تحت تأثیر
<= 9.2.11.002
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-photo-album-plus را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.