→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-12747 · acf-frontend-form-element
تزریق اسکریپت‌های ذخیره‌شده (Stored XSS) از طریق ویژگی tag شورت‌کد در افزونه Frontend Admin
افزونه Frontend Admin by DynamiApps در تمام نسخه‌های تا ۳.۲۹.۱۱ به دلیل sanitization ناکافی ورودی و escaping ناکافی خروجی، در برابر Stored XSS از طریق ویژگی tag شورت‌کد آسیب‌پذیر است. مهاجمان احراز هویت‌شده با دسترسی Contributor و بالاتر می‌توانند اسکریپت‌های مخرب را در صفحات تزریق کنند که هنگام بازدید کاربران اجرا می‌شوند و امنیت سایت وردپرسی را تهدید می‌کنند. توصیه می‌شود افزونه را فوراً به آخرین نسخه به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 3.29.11
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته acf-frontend-form-element را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.12/main/frontend/forms/classes/shortcodes.php#L818 ↗
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.5/main/frontend/forms/classes/display.php#L1791 ↗
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.5/main/frontend/forms/classes/display.php#L1810 ↗
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.5/main/frontend/forms/classes/shortcodes.php#L818 ↗
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.5/main/frontend/forms/classes/shortcodes.php#L839 ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/bcfbce25-af5f-45dc-a7e1-922d3a549359?source=cve ↗