→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-86606 · iubenda-all-in-one-compliance-for-gdpr-ccpa-cookie-consent-more
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه iubenda | All-in-one Compliance for GDPR / CCPA
افزونه iubenda | All-in-one Compliance for GDPR / CCPA Cookie Consent + more در نسخه‌های ۳.۱۳.۷ و قبل از آن، محتوایی را که از طریق تجزیه‌گر HTML همراه خود دوباره منتشر می‌کند به‌درستی escape نمی‌کند. به همین دلیل کاربران احراز هویت‌نشده می‌توانند اسکریپت‌های وب دلخواه را در صفحات تزریق کنند که در نشست هر بازدیدکننده، از جمله مدیران واردشده به سایت، اجرا می‌شود. وصله رسمی تاکنون منتشر نشده است؛ توصیه می‌شود افزونه موقتاً غیرفعال شود یا از فایروال وب‌اپلیکیشن استفاده گردد.
نسخه‌های تحت تأثیر
<= 3.13.7
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته iubenda-all-in-one-compliance-for-gdpr-ccpa-cookie-consent-more را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.