→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-111948 · user-profile-builder
تزریق اسکریپت بازتابی (Reflected XSS) در افزونه User Profile Builder
افزونه User Profile Builder برای وردپرس تا نسخه 4.0.1 آدرس URL صفحه فعلی را پیش از نمایش در یک زمینه جاوااسکریپت در یکی از صفحات مدیریتی خود به درستی پاکسازی و ایمن نمی‌سازد. این نقص امنیتی می‌تواند به حملات تزریق اسکریپت از طریق وب (Reflected XSS) علیه کاربران با دسترسی بالا منجر شود. تاکنون وصله رسمی برای این آسیب‌پذیری منتشر نشده است و به مدیران وب‌سایت‌ها توصیه می‌شود تا زمان ارائه به‌روزرسانی، موقتاً این افزونه را غیرفعال کرده یا از قوانین فایروال برای مسدودسازی درخواست‌های مخرب استفاده کنند.
نسخه‌های تحت تأثیر
<= 4.0.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته user-profile-builder را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.