→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-89269 · wp-testimonials
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه WP Testimonials
افزونه WP Testimonials وردپرس تا نسخه ۱.۴.۱۳ محتوای نظرات را به‌درستی escape نمی‌کند و هنگام نمایش، پاک‌سازی HTML وردپرس را معکوس می‌کند. در نتیجه کاربران با نقش Author و بالاتر می‌توانند جاوااسکریپت مخرب ذخیره کنند که در نشست هر بیننده، از جمله مدیران، اجرا می‌شود. چون وصله امنیتی موجود است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 1.4.13
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-testimonials را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.