→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-18400 · ml-slider
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Slider, Gallery, and Carousel by MetaSlider – Image Slider, Video Slider
افزونه MetaSlider برای WordPress در نسخه‌های تا و شامل ۳.۱۱۱.۰ آسیب‌پذیر به تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق تنظیم متا 'delay' است. مهاجمان با سطح دسترسی Author و بالاتر می‌توانند با استفاده از XML-RPC و تنظیم custom_fields هنگام ایجاد پست ml-slider، اسکریپت‌های دلخواه را تزریق کنند که در صفحات تزریق‌شده اجرا می‌شوند. با توجه به وجود پچ امنیتی، توصیه فوری به به‌روزرسانی به نسخه امن.
نسخه‌های تحت تأثیر
<= 3.111.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته ml-slider را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.