→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-93654 · wpdm-premium-packages

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه wpdm-premium-packages

بالا plugin CVSS 7.2

افزونه Premium Packages در نسخه‌های تا ۷.۲.۱ به دلیل sanitization ناکافی ورودی و escaping خروجی، در برابر تزریق اسکریپت ذخیره‌شده از طریق پارامتر cart_items[][product_name] آسیب‌پذیر است. مهاجمان بدون احراز هویت می‌توانند اسکریپت‌های مخرب را از طریق REST route تسویه حساب (با permission_callback برابر __return_true) تزریق کنند که هنگام مشاهده فاکتور توسط هر کاربر وارد شده (بدون بررسی مالکیت سفارش) اجرا می‌شود. با توجه به وجود وصله امنیتی، توصیه می‌شود افزونه را فوراً به نسخه امن به‌روزرسانی کنید.

نسخه‌های تحت تأثیر

<= 7.2.1

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته wpdm-premium-packages را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه wpdm-premium-packages

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر