→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-116761 · cmb2

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه CMB2

افزونه CMB2 وردپرس در همه نسخه‌های تا ۲.۱۳.۴، به‌دلیل پاک‌سازی ناکافی ورودی و گریز ناکافی خروجی، در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق پارامتر فیلد wysiwyg درون گروه تکرارشونده آسیب‌پذیر است. مهاجم احراز هویت‌نشده می‌تواند اسکریپت وب دلخواه را در صفحه تزریق کند تا هنگام بازدید کاربر اجرا شود؛ این مسئله فقط وقتی قابل بهره‌برداری است که یکپارچه‌ساز سایت، فرم فرانت‌اند مستند افزونه را با فیلد wysiwyg داخل گروه تکرارشونده در صفحه‌ای عمومی نمایش دهد. وصله رسمی تاکنون منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا از فایروال برنامه‌های وب استفاده کنید و از نمایش این فرم در صفحات عمومی خودداری کنید.