→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-119113 · geodirectory

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه GeoDirectory

متوسط plugin CVSS 6.4

افزونه GeoDirectory در نسخه‌های تا و شامل ۲.۸.۱۹۹ به‌دلیل پاک‌سازی ناکافی توضیحات آگهی (post_content) در برابر تزریق اسکریپت ذخیره‌شده آسیب‌پذیر است. مهاجمی که بتواند آگهی ایجاد یا ویرایش کند می‌تواند محتوای HTML مخرب ذخیره کند که هنگام نمایش برای دیگر کاربران در مرورگر آن‌ها اجرا می‌شود و ممکن است به سرقت نشست، اجرای اقدام به‌جای قربانی یا دستکاری صفحه منجر شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا با فایروال وب (WAF) این ورودی را محدود نمایید و از ادامه استفاده از نسخه آسیب‌پذیر به‌عنوان راه‌حل خودداری کنید.

نسخه‌های تحت تأثیر

<= 2.8.199

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته geodirectory را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه GeoDirectory

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر