→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-117571 · wp-visitor-statistics
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه WP Visitor Statistics
افزونه WP Visitor Statistics (Real Time Traffic) در نسخه‌های ۸.۸ و پایین‌تر، داده‌های ردیابی برگرفته از درخواست‌های عمومی بازدیدکنندگان را پیش از ذخیره و نمایش در داشبورد آمار مدیریتی پاک‌سازی و escape نمی‌کند. به همین دلیل مهاجمان بدون احراز هویت می‌توانند اسکریپت‌های وب دلخواه تزریق کنند که هنگام مشاهده صفحات آمار توسط مدیر واردشده اجرا می‌شود و وب‌سایت را در معرض سرقت نشست یا اقدامات مخرب در بستر مدیریت قرار می‌دهد. وصله رسمی تاکنون منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا از فایروال وب (WAF) برای کاهش خطر استفاده کنید.
نسخه‌های تحت تأثیر
<= 8.8
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-visitor-statistics را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.