→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-13359 · contact-form-to-db
اسکریپت‌نویسی بین‌سایتی ذخیره‌شده (Stored XSS) در افزونه Contact Form to DB
افزونه Contact Form to DB تا نسخه ۱.۷.۵ به دلیل پاکسازی ناکافی ورودی و عدم escape خروجی در پارامتر cntctfrm_contact_dropdown در برابر XSS ذخیره‌شده آسیب‌پذیر است. مهاجمان احراز هویت‌نشده می‌توانند از طریق ارسال فرم تماس، اسکریپت مخرب تزریق کنند که هنگام بازدید مدیر از صفحه مدیریت پیام‌ها در wp-admin اجرا شده و نشست‌های سطح مدیر را به خطر می‌اندازد. به‌روزرسانی فوری افزونه به نسخه امن ضروری است.
نسخه‌های تحت تأثیر
<= 1.7.5
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته contact-form-to-db را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://www.wordfence.com/threat-intel/vulnerabilities/id/838dd2f9-22e3-4833-9f55-09bd729fd6ed?source=api-prod ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/838dd2f9-22e3-4833-9f55-09bd729fd6ed ↗
- https://plugins.trac.wordpress.org/browser/contact-form-to-db/tags/1.7.4/contact_form_to_db.php#L2035 ↗
- https://plugins.trac.wordpress.org/browser/contact-form-to-db/tags/1.7.4/contact_form_to_db.php#L582 ↗
- https://plugins.trac.wordpress.org/changeset/3624996/contact-form-to-db ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/838dd2f9-22e3-4833-9f55-09bd729fd6ed?source=cve ↗