→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-111070 · wp-content-pilot
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Content Pilot
افزونه Content Pilot در نسخه‌های ۲.۲.۴ و پایین‌تر، توضیحات متای HTML مقالات دریافت‌شده از منابع راه دور را بدون پاک‌سازی کافی به‌عنوان محتوای نوشته ذخیره می‌کند و در بخش عمومی سایت نمایش می‌دهد. مهاجمی که بتواند محتوای منبع دریافت‌شده را کنترل کند، می‌تواند اسکریپت مخرب را در صفحات سایت تزریق کند تا هنگام بازدید کاربران در مرورگر آن‌ها اجرا شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان ارائه به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا با فایروال وب، ورودی‌های مشکوک را محدود نمایید.
نسخه‌های تحت تأثیر
<= 2.2.4
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-content-pilot را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/wp-content-pilot/tags/2.2.4/includes/class-wpcp-module.php#L315 ↗
- https://plugins.trac.wordpress.org/browser/wp-content-pilot/tags/2.2.4/includes/class-wpcp-module.php#L425 ↗
- https://plugins.trac.wordpress.org/browser/wp-content-pilot/tags/2.2.4/includes/class-wpcp-readability.php#L182 ↗
- https://plugins.trac.wordpress.org/browser/wp-content-pilot/tags/2.2.4/includes/class-wpcp-readability.php#L274 ↗
- https://plugins.trac.wordpress.org/browser/wp-content-pilot/tags/2.2.4/includes/modules/class-wpcp-feed.php#L204 ↗
- https://plugins.trac.wordpress.org/browser/wp-content-pilot/tags/2.2.5/includes/class-wpcp-module.php ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/e3afda72-c10b-46e0-b187-03bcaeb77ea4?source=cve ↗