→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-78364 · mw-wp-form
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه MW WP Form
افزونه MW WP Form در نسخه‌های تا ۵.۱.۶ برخی تنظیمات فرم را بدون sanitization و escaping مناسب در صفحه داشبورد ادمین خروجی می‌دهد. این آسیب‌پذیری به کاربران با نقش Editor امکان اجرای حملات XSS ذخیره‌شده علیه ادمین‌ها را فراهم می‌کند که می‌تواند منجر به سرقت نشست، اجرای کد مخرب در مرورگر ادمین و به خطر افتادن کل سایت وردپرسی شود. برای رفع فوری این مشکل، افزونه را به آخرین نسخه به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 5.1.6
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته mw-wp-form را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.