→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-93293 · password-protected

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Password Protected

افزونه Password Protected در همه نسخه‌های تا ۲.۸.۴، به‌دلیل پاک‌سازی ناکافی ورودی و گریز ناکافی خروجی در پردازشگر تکمیل خرید کیت Freemius، در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) آسیب‌پذیر است. پس از تکمیل opt-in فریمیوس، کاربر احرازهویت‌شده با سطح دسترسی مشترک (Subscriber) یا بالاتر می‌تواند بدون بررسی سطح دسترسی، نانس یا اعتبار خرید، اسکریپت دلخواه را در یک اعلان مدیریتی پایدار و سراسری ذخیره کند تا هنگام نمایش در پیشخوان اجرا شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا با دیوار آتش وب (WAF) ورودی‌های مشکوک را محدود نمایید.