→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-113409 · ortto
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Ortto
افزونه Ortto برای وردپرس در نسخه‌های ۱.۰.۲۵ و پایین‌تر، تنظیمات ذخیره‌شده را در صفحه تنظیمات مدیریت به‌درستی escape نمی‌کند و این نقص به تزریق اسکریپت ذخیره‌شده (Stored XSS) منجر می‌شود. مهاجمی که بتواند پیکربندی افزونه را تغییر دهد، می‌تواند هنگام بازدید مدیر از صفحه آسیب‌پذیر، جاوااسکریپت دلخواه را در نشست او اجرا کند. وصله رسمی هنوز منتشر نشده است؛ توصیه می‌شود افزونه را موقتاً غیرفعال کنید یا از فایروال برنامه‌های وب استفاده کنید.
نسخه‌های تحت تأثیر
<= 1.0.25
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته ortto را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.