→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-119162 · user-submitted-posts

تزریق اسکریپت از طریق وب (XSS) در افزونه User Submitted Posts – Enable Users to Submit Posts from the Front End

افزونه User Submitted Posts در همه نسخه‌های تا و شامل ۲۰۲۶۰۹۱۶ به‌دلیل پاک‌سازی ناکافی ورودی و گریز (escaping) ناکافی خروجی، از طریق پارامتر user-submitted-content در برابر تزریق اسکریپت ذخیره‌شده مبتنی بر DOM آسیب‌پذیر است. مهاجمان احراز هویت‌نشده می‌توانند اسکریپت‌های وب دلخواه را در صفحات ذخیره کنند که هنگام بازدید کاربر اجرا می‌شود؛ در نصب پیش‌فرض نوشته در وضعیت «در انتظار بررسی» می‌ماند و تا تأیید مدیر برای دیگران در دسترس نیست، اما اگر گزینه «انتشار فوری» فعال باشد، محتوای مخرب بدون دخالت ناظر منتشر می‌شود. از آنجا که وصله امنیتی موجود است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.