→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-9239 · meow-gallery

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Meow Gallery

افزونه Meow Gallery برای وردپرس در همه نسخه‌های تا و از جمله ۵.۵.۱، به‌دلیل پاک‌سازی ناکافی ورودی و فرار ناکافی خروجی، در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق متن جایگزین پیوست (ویژگی aria-label) آسیب‌پذیر است. مهاجم احراز هویت‌شده با سطح دسترسی نویسنده یا بالاتر می‌تواند اسکریپت دلخواه را در صفحاتی تزریق کند که هنگام بازدید کاربران اجرا می‌شود؛ این مسیر تنها وقتی در دسترس است که آیتم گالری به‌صورت پیوند نمایش داده شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا از فایروال برنامه‌های وب استفاده کنید.