→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-84223 · kirki
آسیب‌پذیری تزریق اسکریپت از طریق وب (XSS) در افزونه Kirki وردپرس
افزونه Kirki وردپرس در نسخه‌های ۶.۳.۱ و پایین‌تر، فایل‌های SVG بارگذاری شده را به درستی ضدعفونی (Sanitize) نمی‌کند. این ضعف امنیتی به کاربران با سطح دسترسی نویسنده و بالاتر اجازه می‌دهد تا فایل‌های حاوی کدهای مخرب جاوااسکریپت را در سایت بارگذاری کنند که منجر به اجرای اسکریپت در جلسه کاربری بازدیدکنندگان می‌شود. با توجه به وجود وصله امنیتی، توصیه می‌شود افزونه بلافاصله به نسخه امن به‌روزرسانی شود.
نسخه‌های تحت تأثیر
<= 6.3.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته kirki را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.