→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-84909 · custom-twitter-feeds
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Custom Twitter Feeds
افزونه Custom Twitter Feeds تا نسخه ۲.۸.۰ به دلیل sanitization ناکافی ورودی و escaping ناقص خروجی در ویژگی buttoncolor شورت‌کد، آسیب‌پذیر به Stored XSS است. مهاجمان احراز هویت‌شده با دسترسی Contributor و بالاتر می‌توانند اسکریپت مخرب تزریق کنند که هنگام بازدید کاربران اجرا شده و امنیت سایت را تهدید می‌کند. با وجود وصله امنیتی، به‌روزرسانی فوری به نسخه امن ضروری است.
نسخه‌های تحت تأثیر
<= 2.8.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته custom-twitter-feeds را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/custom-twitter-feeds/tags/2.8.0/custom-twitter-feed.php#L432 ↗
- https://plugins.trac.wordpress.org/browser/custom-twitter-feeds/tags/2.8.0/inc/CTF_Parse.php#L551 ↗
- https://plugins.trac.wordpress.org/browser/custom-twitter-feeds/tags/2.8.0/inc/CTF_Settings.php#L234 ↗
- https://plugins.trac.wordpress.org/browser/custom-twitter-feeds/tags/2.8.0/inc/CTF_Settings.php#L293 ↗
- https://plugins.trac.wordpress.org/browser/custom-twitter-feeds/tags/2.8.0/inc/CtfFeed.php#L139 ↗
- https://plugins.trac.wordpress.org/browser/custom-twitter-feeds/tags/2.8.0/inc/CtfFeed.php#L2001 ↗
- https://plugins.trac.wordpress.org/browser/custom-twitter-feeds/tags/2.8.0/inc/CtfFeed.php#L2338 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&new=3695675%40custom-twitter-feeds&old=3665650%40custom-twitter-feeds ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/b1a9d042-c0c0-477a-8cdf-9fb9d2239059?source=cve ↗