→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-118165 · firelight-lightbox
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Firelight Lightbox
افزونه Firelight Lightbox وردپرس در نسخه‌های 2.3.23 و پیش از آن، نشانی (URL) پیوندهایی را که در لایت‌باکس کلاسیک باز می‌کند پیش از درج در صفحه به‌صورت HTML به‌درستی escape نمی‌کند. به همین دلیل کاربری با نقشی به پایینی مشارکت‌کننده (Contributor) می‌تواند اسکریپت مخرب را ذخیره کند و با کلیک سایر کاربران روی پیوند دستکاری‌شده، حمله تزریق اسکریپت ذخیره‌شده (Stored XSS) علیه آن‌ها انجام دهد. از آنجا که وصله رسمی هنوز منتشر نشده است، از نصب یا ادامه استفاده از نسخه آسیب‌پذیر خودداری کنید و تا انتشار اصلاحیه، افزونه را موقتاً غیرفعال کنید یا با فایروال برنامه‌های وب (WAF) خطر را محدود سازید.
نسخه‌های تحت تأثیر
<= 2.3.23
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته firelight-lightbox را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.