→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-114431 · enable-media-replace
تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق SVG در افزونه Enable Media Replace وردپرس
افزونه Enable Media Replace در نسخه‌های ۴.۲.۳ و قبل از آن، فایل رسانه‌ای جایگزین‌شده را از خط لوله بارگذاری استاندارد وردپرس عبور نمی‌دهد و در نتیجه پیش‌فیلتر پاک‌سازی SVG اجرا نمی‌شود. به همین دلیل، کاربر احرازهویت‌شده‌ای که مجوز بارگذاری دارد —در صورت فعال بودن امکان پذیرش SVG— می‌تواند فایل SVG حاوی اسکریپت ذخیره کند که با باز شدن مستقیم فایل اجرا می‌شود و بازدیدکنندگان را در معرض اجرای اسکریپت مخرب قرار می‌دهد. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا با فایروال وب بارگذاری و دسترسی مستقیم به SVG را محدود نمایید.
نسخه‌های تحت تأثیر
<= 4.2.3
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته enable-media-replace را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.