→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-81156 · robo-gallery
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Robo Gallery وردپرس
افزونه Robo Gallery در نسخه‌های آسیب‌پذیر، برخی تنظیمات گالری را پیش از نمایش در صفحه ویرایش گالری پاک‌سازی و گریز (escape) نمی‌کند. به همین دلیل کاربری با نقش مشارکت‌کننده (Contributor) یا بالاتر می‌تواند جاوااسکریپت را در تنظیمات گالری ذخیره کند تا هنگام باز شدن گالری برای ویرایش، در زمینه نشست مدیر اجرا شود و به سرقت نشست، تغییر تنظیمات یا انجام اقدامات مدیریتی ناخواسته بینجامد. چون وصله امنیتی منتشر شده است، افزونه را فوراً به آخرین نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 5.2.6
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته robo-gallery را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.