→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-92622 · strong-testimonials
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Strong Testimonials وردپرس
افزونه Strong Testimonials وردپرس در نسخه‌های تا و شامل 3.3.8 به دلیل sanitization ناکافی ورودی و escaping ناکافی خروجی در ویژگی lightbox_class شورت‌کد، آسیب‌پذیر به تزریق اسکریپت ذخیره‌شده است. مهاجمان احراز هویت‌شده با سطح دسترسی Contributor و بالاتر می‌توانند اسکریپت‌های وب دلخواه را در صفحات تزریق کنند که هنگام دسترسی کاربران اجرا می‌شوند، مشروط بر وجود حداقل یک تستیمونیال منتشرشده با تصویر شاخص و فعال بودن lightbox wrapper. با توجه به وجود وصله امنیتی، توصیه می‌شود فوراً افزونه را به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 3.3.8
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته strong-testimonials را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/strong-testimonials/tags/3.3.8/includes/class-strong-testimonials-render.php#L723 ↗
- https://plugins.trac.wordpress.org/browser/strong-testimonials/tags/3.3.8/includes/class-strong-testimonials-view-shortcode.php#L60 ↗
- https://plugins.trac.wordpress.org/browser/strong-testimonials/tags/3.3.8/includes/functions-image.php#L70 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3699887%40strong-testimonials&new=3699887%40strong-testimonials ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/52a92e3c-cb64-4fc5-9248-6f4fc2a6a3cc?source=cve ↗