→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-76573 · pods
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Pods
افزونه Pods تا نسخه ۳.۳.۹.۱ به دلیل پاکسازی ناکافی ورودی و عدم escape کردن خروجی، در برابر تزریق اسکریپت ذخیره‌شده از طریق ویژگی شورت‌کد not_found آسیب‌پذیر است. مهاجمان احراز هویت‌شده با سطح دسترسی مشارکت‌کننده و بالاتر می‌توانند اسکریپت‌های مخرب را در صفحات تزریق کنند که هنگام بازدید کاربران اجرا می‌شوند. با وجود وصله امنیتی، به‌روزرسانی فوری افزونه به نسخه امن توصیه می‌شود.
نسخه‌های تحت تأثیر
<= 3.3.9.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته pods را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/pods/tags/3.3.9.1/classes/PodsInit.php#L514 ↗
- https://plugins.trac.wordpress.org/browser/pods/tags/3.3.9.1/includes/general.php#L1399 ↗
- https://plugins.trac.wordpress.org/browser/pods/tags/3.3.9.1/includes/general.php#L2535 ↗
- https://plugins.trac.wordpress.org/browser/pods/tags/3.3.9.1/includes/general.php#L2539 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3674726%40pods&new=3674726%40pods ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/82ca2dfc-a820-49d7-bb73-38dbb8406841?source=cve ↗