→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-111122 · so-css
تزریق اسکریپت ذخیره‌شده مبتنی بر DOM (Stored DOM-Based XSS) در افزونه SiteOrigin CSS
افزونه SiteOrigin CSS برای وردپرس در همه نسخه‌های تا ۱.۶.۷ به‌دلیل پاک‌سازی ناکافی ورودی و فراردهی خروجی در پارامتر href، در برابر تزریق اسکریپت ذخیره‌شده مبتنی بر DOM آسیب‌پذیر است. مهاجمان احراز هویت‌نشده می‌توانند اسکریپت‌های دلخواه را در صفحات تزریق کنند که هنگام بازدید کاربر از صفحه آلوده اجرا می‌شود؛ بهره‌برداری موفق نیازمند تأیید دیدگاه مخرب و سپس باز کردن Visual Inspector توسط مدیر و کلیک روی پیوند مهاجم است. چون وصله امنیتی موجود است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 1.6.7
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته so-css را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.