→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-5410 · redux-framework
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Redux Framework
افزونه Redux Framework تا نسخه ۴.۵.۱۳ به دلیل پاکسازی ناکافی ورودی در تابع user_meta_save که مقادیر اسکالر فیلد spinner را نادیده می‌گیرد و عدم فرار خروجی در تابع render، در برابر تزریق اسکریپت ذخیره‌شده آسیب‌پذیر است. مهاجمان احراز هویت‌شده با سطح دسترسی مشترک و بالاتر می‌توانند اسکریپت‌های مخرب را در متای کاربر ذخیره کنند که هنگام رندر صفحات در ویژگی HTML بدون نقل‌قول اجرا شده و امنیت وب‌سایت را تهدید می‌کنند. با توجه به وجود وصله امنیتی، به‌روزرسانی فوری افزونه به نسخه امن توصیه می‌شود.
نسخه‌های تحت تأثیر
<= 4.5.13
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته redux-framework را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/redux-framework/tags/4.5.10/redux-core/inc/extensions/users/class-redux-extension-users.php#L1018 ↗
- https://plugins.trac.wordpress.org/browser/redux-framework/tags/4.5.10/redux-core/inc/fields/spinner/class-redux-spinner.php#L56 ↗
- https://plugins.trac.wordpress.org/browser/redux-framework/trunk/redux-core/inc/extensions/users/class-redux-extension-users.php#L1018 ↗
- https://plugins.trac.wordpress.org/browser/redux-framework/trunk/redux-core/inc/fields/spinner/class-redux-spinner.php#L56 ↗
- https://plugins.trac.wordpress.org/changeset/3688279/redux-framework/trunk/redux-core/inc/extensions/users/class-redux-extension-users.php ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&new=3688279%40redux-framework%2Ftags%2F4.5.14&old=3582185%40redux-framework%2Ftags%2F4.5.13 ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/116c57c2-6257-40b3-a838-194f8959be16?source=cve ↗