→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-75966 · podlove-podcasting-plugin-for-wordpress
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Podlove Podcast Publisher وردپرس
افزونه Podlove Podcast Publisher برای وردپرس در نسخه‌های تا ۴.۵.۵ به دلیل sanitization ناکافی ورودی و escaping خروجی در برابر تزریق اسکریپت ذخیره‌شده از طریق پارامتر episode_contributor[..][..][comment] آسیب‌پذیر است. مهاجمان احراز هویت‌شده با سطح دسترسی مشارکت‌کننده و بالاتر می‌توانند اسکریپت‌های مخرب تزریق کنند که هنگام دسترسی کاربران به صفحه اجرا می‌شوند زیرا داده‌ها در جدول سفارشی افزونه ذخیره شده و فیلتر wp_kses_post را دور می‌زنند. با وجود وصله امنیتی، به‌روزرسانی فوری به نسخه امن توصیه می‌شود.
نسخه‌های تحت تأثیر
<= 4.5.5
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته podlove-podcasting-plugin-for-wordpress را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/podlove-podcasting-plugin-for-wordpress/tags/4.5.4/lib/modules/contributors/contributors.php#L25 ↗
- https://plugins.trac.wordpress.org/browser/podlove-podcasting-plugin-for-wordpress/tags/4.5.4/lib/modules/contributors/contributors.php#L490 ↗
- https://plugins.trac.wordpress.org/browser/podlove-podcasting-plugin-for-wordpress/tags/4.5.4/lib/modules/contributors/templates/contributor-table.twig#L59 ↗
- https://plugins.trac.wordpress.org/browser/podlove-podcasting-plugin-for-wordpress/tags/4.5.4/lib/template/twig_filter.php#L139 ↗
- https://plugins.trac.wordpress.org/browser/podlove-podcasting-plugin-for-wordpress/tags/4.5.5/lib/modules/contributors/contributors.php#L25 ↗
- https://plugins.trac.wordpress.org/browser/podlove-podcasting-plugin-for-wordpress/tags/4.5.5/lib/modules/contributors/contributors.php#L490 ↗
- https://plugins.trac.wordpress.org/browser/podlove-podcasting-plugin-for-wordpress/tags/4.5.5/lib/modules/contributors/templates/contributor-table.twig#L59 ↗
- https://plugins.trac.wordpress.org/browser/podlove-podcasting-plugin-for-wordpress/tags/4.5.5/lib/template/twig_filter.php#L139 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3671120%40podlove-podcasting-plugin-for-wordpress&new=3671120%40podlove-podcasting-plugin-for-wordpress ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/fc9253bc-feee-422f-aafb-1630f2d1ad2e?source=cve ↗