→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-16788 · live-composer-page-builder

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Live Composer از طریق شورت‌کد dslc_module_projects_output

متوسط plugin CVSS 6.4

افزونه Live Composer – Free WordPress Website Builder تا نسخه ۲.۱.۱۹ به دلیل sanitization ناکافی ورودی و escaping ناقص خروجی در شورت‌کد dslc_module_projects_output، آسیب‌پذیر به Stored XSS است. مهاجمان احراز هویت‌شده با دسترسی Contributor و بالاتر می‌توانند اسکریپت‌های مخرب را از طریق مقادیری مانند view_all_link در صفحات تزریق کنند که به دلیل حفظ بدنه شورت‌کد توسط kses وردپرس فیلتر نشده و هنگام بازدید کاربران اجرا می‌شوند. این ریسک می‌تواند منجر به سرقت نشست یا کنترل حساب شود و به‌روزرسانی فوری افزونه به نسخه بالاتر ضروری است.

نسخه‌های تحت تأثیر

<= 2.1.19

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته live-composer-page-builder را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Live Composer از طریق شورت‌کد dslc_module_projects_output

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر