→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-85683 · jane-menu
تزریق اسکریپت از طریق وب (XSS) در افزونه وردپرس jane-menu
افزونه jane-menu وردپرس تا نسخه 1.5.1 فاقد اعتبارسنجی سطح دسترسی و بررسی توکن nonce در یکی از کنترل‌کننده‌های فرم خود است که به کاربران احرازویت‌نشده اجازه می‌دهد صفحات منتشرشده را به اسناد راه دور متصل کنند. این افزونه سند مورد نظر را دریافت کرده و محتوای آن را بدون ایمن‌سازی نمایش می‌دهد، در نتیجه یک مهاجم می‌تواند کدهای مخرب JavaScript را در مرورگر بازدیدکنندگان اجرا کند. از آنجایی که پچ رسمی هنوز منتشر نشده است، توصیه می‌شود این افزونه تا زمان ارائه به‌روزرسانی امنیتی موقتاً غیرفعال شود.
نسخه‌های تحت تأثیر
<= 1.5.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته jane-menu را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.