→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-96741 · dsgvo-all-in-one-for-wp
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه DSGVO All in one for WP
افزونه DSGVO All in one for WP در همه نسخه‌های ۵.۰ و پایین‌تر، به‌دلیل پاک‌سازی ناکافی ورودی و فراردهی ناکافی خروجی، در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق محتوای دیدگاه آسیب‌پذیر است. مهاجم احراز هویت‌نشده می‌تواند اسکریپت دلخواه را در صفحاتی قرار دهد که هنگام بازدید کاربر اجرا می‌شود؛ این مسئله فقط وقتی قابل بهره‌برداری است که مدیر هر دو گزینه یکپارچه‌سازی Google Tag Manager و «Replace integration automatically [Beta]» را فعال کرده باشد و دیدگاه دستکاری‌شده را تأیید کند. وصله رسمی هنوز منتشر نشده است؛ توصیه می‌شود افزونه موقتاً غیرفعال شود یا از فایروال وب برای کاهش خطر استفاده گردد.
نسخه‌های تحت تأثیر
<= 5.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته dsgvo-all-in-one-for-wp را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://www.wordfence.com/threat-intel/vulnerabilities/id/219b29a6-6148-4cc9-960c-b28f2d90236e?source=api-prod ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/219b29a6-6148-4cc9-960c-b28f2d90236e ↗
- https://plugins.trac.wordpress.org/browser/dsgvo-all-in-one-for-wp/tags/5.0/dsgvo_all_in_one_wp.php#L1611 ↗
- https://plugins.trac.wordpress.org/browser/dsgvo-all-in-one-for-wp/tags/5.0/dsgvo_all_in_one_wp.php#L2901 ↗
- https://plugins.trac.wordpress.org/browser/dsgvo-all-in-one-for-wp/tags/5.0/dsgvo_all_in_one_wp.php#L2909 ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/219b29a6-6148-4cc9-960c-b28f2d90236e?source=cve ↗