→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-95809 · opti-behavior
آسیب‌پذیری تزریق اسکریپت ذخیره‌شده مبتنی بر DOM (Stored DOM-Based XSS) در افزونه Opti-Behavior
افزونه Opti-Behavior در نسخه‌های 1.9.2.1 و قبل از آن، به‌دلیل پاک‌سازی ناکافی ورودی و خروج بدون escape مناسب پارامتر موقعیت country_name، در برابر تزریق اسکریپت ذخیره‌شده مبتنی بر DOM آسیب‌پذیر است. مهاجم بدون احراز هویت می‌تواند اسکریپت وب دلخواه را در صفحات تزریق کند تا هنگام بازدید کاربران اجرا شود؛ محدودیت nonce نیز مانع عملی ایجاد نمی‌کند، چون هر بازدیدکننده می‌تواند آن را از اقدام عمومی AJAX دریافت کند. با توجه به انتشار وصله امنیتی، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 1.9.2.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته opti-behavior را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.