→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-115869 · themify-builder

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Themify Builder

افزونه Themify Builder تا نسخه ۷.۸.۴ در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق فیلد تکرارشونده variations در نوشته‌های Custom Font آسیب‌پذیر است؛ پاک‌سازی ناکافی ورودی و گریز ناکافی خروجی باعث می‌شود مقادیر تحت کنترل مهاجم در فراداده ذخیره و بعداً بدون گریز در صفحه مدیریت فونت‌های سفارشی نمایش داده شوند. مهاجم احرازهویت‌شده با دسترسی مشارکت‌کننده یا بالاتر می‌تواند اسکریپت مخرب ذخیره کند که هنگام مشاهده این صفحه توسط مدیر اجرا شود و به سرقت نشست یا انجام اقدامات مدیریتی منجر گردد. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی به آن را با فایروال وب (WAF) محدود نمایید.