→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-112111 · bootstrap-shortcodes

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Bootstrap Shortcodes

افزونه bootstrap-shortcodes برای وردپرس قبل از نسخه 3.4.6 آسیب‌پذیر به تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق ویژگی id شورتکد [bs_tcontent] است. هندلر شورتکد bs_tcontent() مقدار ویژگی id را بدون نقل قول وارد ویژگی HTML می‌کند و esc_attr() کاراکترهای فضای را کدگذاری نمی‌کند که منجر به پایان زودهنگام ویژگی و تزریق هندلرهای اسکریپت جاوااسکریپت می‌شود. این آسیب‌پذیری به مهاجمان احراز هویت با سطح دسترسی Contributor و بالاتر اجازه می‌دهد تا اسکریپت دلخواه را تزریق کنند که در مرورگر کاربران دیگر اجرا می‌شود. پچ رسمی هنوز منتشر نشده و توصیه اکید به غیرفعال‌سازی موقت افزونه یا استفاده از فایروال.