→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-115250 · text-typing
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Text Typing
افزونه Text Typing وردپرس در نسخه‌های ۲.۲.۲ و پایین‌تر، یک ویژگی بلوک را پیش از ذخیره‌سازی به‌درستی پاک‌سازی و گریز (escape) نمی‌کند و سپس آن را در عنصری از صفحه قرار می‌دهد که توسط اسکریپت سمت کاربر خوانده و رندر می‌شود. در نتیجه، کاربری با نقش Contributor یا بالاتر می‌تواند حمله تزریق اسکریپت ذخیره‌شده (Stored XSS) انجام دهد که در مرورگر هر بازدیدکننده صفحه آسیب‌پذیر اجرا می‌شود. وصله رسمی تاکنون منتشر نشده است؛ بنابراین افزونه را موقتاً غیرفعال کنید یا با فایروال برنامه‌های وب ورودی‌های مشکوک را محدود نمایید.
نسخه‌های تحت تأثیر
<= 2.2.2
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته text-typing را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.