→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-13362 · sendpulse-email-marketing-newsletter
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه SendPulse Email Marketing Newsletter
افزونه SendPulse Email Marketing Newsletter در نسخه‌های ۲.۲.۵ و پیش‌تر، به دلیل عدم اعتبارسنجی صحیح ورودی‌ها و پاکسازی ناکافی خروجی‌ها در متای پست _sp_form_code، در معرض آسیب‌پذیری تزریق اسکریپت ذخیره‌شده (Stored XSS) قرار دارد. مهاجمان احراز هویت شده با دسترسی مشارکت‌کننده یا بالاتر می‌توانند کدهای مخرب وب را تزریق کرده و با اجرای آن‌ها در مرورگر سایر کاربران و مدیران، دسترسی غیرمجاز کسب کنند. برای رفع این آسیب‌پذیری، توصیه می‌شود افزونه خود را فوراََ به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 2.2.5
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته sendpulse-email-marketing-newsletter را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.