→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-86794 · community-events
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Community Events وردپرس
افزونه Community Events در نسخه‌های ۱.۶.۰ و پایین‌تر هنگام پردازش ارسال‌های عمومی رویداد، بررسی مجوز و نانس انجام نمی‌دهد و چند مقدار ارسالی را پیش از نمایش در پیشخوان مدیریت و تقویم عمومی escape نمی‌کند. در نتیجه کاربر احراز هویت‌نشده می‌تواند اسکریپت وب دلخواه تزریق کند که هنگام بازبینی ارسال در مرورگر مدیر اجرا می‌شود و وب‌سایت را در معرض سرقت نشست و اقدامات مخرب در زمینه مدیر قرار می‌دهد. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا از فایروال برنامه وب استفاده کنید.
نسخه‌های تحت تأثیر
<= 1.6.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته community-events را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.