→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-3853 · divi
اجرا کد از طریق DOM در افزونه Divi
نقص XSS مبتنی بر DOM در افزونه Divi به دلیل عدم whitelist کردن صفت image_src در shortcode et_pb_video_slider_item ایجاد شده است. مهاجم با وارد کردن داده‌های مخرب در این صفت، پس از ذخیره، از طریق تگ data-image و کد JavaScript در custom.unified.js، اجرای کد اسکریپت را ممکن می‌سازد و سطح دسترسی مهاجم را به اجرای کد در مرورگر کاربران افزایش می‌دهد. این امر می‌تواند منجر به سرقت کوکی‌ها، هک حساب‌ها و آسیب به سایت شود و توصیه فوری به‌روزرسانی فوری به نسخه 4.27.7 ضروری است.
نسخه‌های تحت تأثیر
<= 4.27.6
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته divi را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.