→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-87111 · user-registration-pro
تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق هدر HTTP Referer در افزونه User Registration PRO
افزونه پریمیوم User Registration PRO (فرم ثبت‌نام سفارشی، فرم ورود و پروفایل کاربر) در نسخه‌های ۶.۲.۹ و قبل از آن، به‌دلیل پاک‌سازی ناکافی ورودی و گریز (escaping) ناکافی خروجی، در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق هدر HTTP Referer آسیب‌پذیر است. مهاجمان احراز هویت‌نشده می‌توانند اسکریپت‌های وب دلخواه را در صفحات تزریق کنند که با بازدید کاربر از صفحه آلوده اجرا می‌شود؛ این نقص فقط در نسخه پریمیوم است و در توزیع رایگان WordPress.org وجود ندارد، و نانس لازم برای فراخوانی نقطه پایانی AJAX آسیب‌پذیر در سورس هر صفحه فرانت‌اند برای بازدیدکنندگان ناشناس در دسترس است. از آنجا که وصله امنیتی منتشر شده، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 6.2.9
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته user-registration-pro را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.