→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-95686 · opti-behavior
تزریق اسکریپت ذخیره‌شده مبتنی بر DOM (Stored DOM-Based XSS) در افزونه Opti-Behavior
افزونه Opti-Behavior برای وردپرس در نسخه‌های ۱.۹.۲.۱ و پیش از آن، به‌دلیل پاک‌سازی ناکافی ورودی و گریز ناکافی خروجی پارامتر targetUrl، در برابر تزریق اسکریپت ذخیره‌شده مبتنی بر DOM آسیب‌پذیر است. مهاجم بدون هیچ‌گونه احراز هویت می‌تواند اسکریپت دلخواه را ذخیره کند، زیرا نقطه دریافت داده تنها با یک نانس کنترل می‌شود که به‌صورت عمومی در اختیار هر بازدیدکننده ناشناس قرار می‌گیرد و این اسکریپت هنگام مشاهده صفحه آلوده در مرورگر کاربران اجرا می‌شود. با توجه به وجود وصله امنیتی، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 1.9.2.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته opti-behavior را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.