→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-17149 · mycred
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه myCred از طریق ویژگی Shortcode wrapper
افزونه myCred وردپرس در تمام نسخه‌های تا و شامل ۳.۲.۴ به دلیل پاکسازی ناکافی ورودی و escape نکردن خروجی در ویژگی Shortcode با نام wrapper، آسیب‌پذیر به تزریق اسکریپت ذخیره‌شده است. این آسیب‌پذیری به مهاجمان احراز هویت شده با سطح دسترسی Contributor و بالاتر اجازه می‌دهد اسکریپت‌های وب دلخواه را در صفحات تزریق کنند که هنگام دسترسی کاربران به آن صفحات اجرا می‌شوند و می‌تواند منجر به سرقت نشست، تغییر محتوا یا حملات مخرب گردد. با توجه به وجود وصله امنیتی، توصیه می‌شود فوراً افزونه را به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 3.2.4
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته mycred را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/mycred/tags/3.2.0/addons/sell-content/includes/mycred-sell-shortcodes.php#L152 ↗
- https://plugins.trac.wordpress.org/browser/mycred/tags/3.2.0/addons/sell-content/includes/mycred-sell-shortcodes.php#L163 ↗
- https://plugins.trac.wordpress.org/browser/mycred/tags/3.2.0/addons/sell-content/myCRED-addon-sell-content.php#L69 ↗
- https://plugins.trac.wordpress.org/browser/mycred/tags/3.2.3/addons/sell-content/includes/mycred-sell-shortcodes.php#L152 ↗
- https://plugins.trac.wordpress.org/browser/mycred/tags/3.2.3/addons/sell-content/includes/mycred-sell-shortcodes.php#L163 ↗
- https://plugins.trac.wordpress.org/browser/mycred/tags/3.2.3/addons/sell-content/myCRED-addon-sell-content.php#L69 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3640734%40mycred&new=3640734%40mycred ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/9d8c7e79-00c4-4667-9ef6-e988901bb6a0?source=cve ↗