→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-18488 · blocksy-companion
تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق ویژگی tagName در افزونه Blocksy Companion
افزونه Blocksy Companion وردپرس تا نسخه ۲.۱.۵۱ به دلیل sanitization ناکافی ورودی و escaping خروجی در ویژگی بلوک tagName (blocksy/dynamic-data) در برابر Stored XSS آسیب‌پذیر است. مهاجمان احراز هویت‌شده با سطح دسترسی نویسنده و بالاتر می‌توانند اسکریپت‌های مخرب را در صفحات تزریق کنند که هنگام بازدید کاربران اجرا شده و امنیت سایت را تهدید می‌کنند. به‌روزرسانی فوری افزونه به نسخه بالاتر از ۲.۱.۵۱ برای رفع این آسیب‌پذیری ضروری است.
نسخه‌های تحت تأثیر
<= 2.1.51
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته blocksy-companion را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/blocksy-companion/tags/2.1.4/framework/features/blocks/dynamic-data/block.php#L183 ↗
- https://plugins.trac.wordpress.org/browser/blocksy-companion/tags/2.1.4/framework/features/blocks/dynamic-data/views/wp-field.php#L448 ↗
- https://plugins.trac.wordpress.org/browser/blocksy-companion/tags/2.1.4/framework/features/blocks/dynamic-data/views/wp-field.php#L487 ↗
- https://plugins.trac.wordpress.org/browser/blocksy-companion/tags/2.1.4/static/js/editor/blocks/dynamic-data/block.json#L7 ↗
- https://plugins.trac.wordpress.org/browser/blocksy-companion/tags/2.1.51/framework/features/blocks/dynamic-data/block.php#L183 ↗
- https://plugins.trac.wordpress.org/browser/blocksy-companion/tags/2.1.51/framework/features/blocks/dynamic-data/views/wp-field.php#L448 ↗
- https://plugins.trac.wordpress.org/browser/blocksy-companion/tags/2.1.51/framework/features/blocks/dynamic-data/views/wp-field.php#L487 ↗
- https://plugins.trac.wordpress.org/browser/blocksy-companion/tags/2.1.51/static/js/editor/blocks/dynamic-data/block.json#L7 ↗
- https://plugins.trac.wordpress.org/changeset/3636709/blocksy-companion/trunk/framework/features/blocks/dynamic-data/views/wp-field.php ↗
- https://plugins.trac.wordpress.org/changeset?old_path=%2Fblocksy-companion/tags/2.1.51&new_path=%2Fblocksy-companion/tags/2.1.52 ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/e0d0adcc-6741-4cab-aaba-df356691a1ee?source=cve ↗