→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-96752 · zero-spam
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Zero Spam for WordPress
افزونه Zero Spam for WordPress تا نسخه ۵.۷.۱۰ به دلیل sanitization ناکافی ورودی و escaping خروجی، در برابر Stored XSS از طریق کلیدهای آرایه تو در تو POST در یکپارچه‌سازی Contact Form 7 آسیب‌پذیر است. مهاجمان بدون احراز هویت می‌توانند با ارسال فرم حاوی کلید آرایه تو در تو با کد HTML یا جاوااسکریپت دلخواه، اسکریپت مخرب را در لاگ افزونه ذخیره کنند که هنگام مشاهده صفحه توسط کاربران اجرا می‌شود. با توجه به وجود وصله امنیتی، توصیه می‌شود افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 5.7.10
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته zero-spam را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://www.wordfence.com/threat-intel/vulnerabilities/id/01540d78-ae46-4556-9a7f-3f8b8dbbcbd7?source=api-prod ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/01540d78-ae46-4556-9a7f-3f8b8dbbcbd7 ↗
- https://plugins.trac.wordpress.org/browser/zero-spam/tags/5.7.10/core/class-utilities.php#L65 ↗
- https://plugins.trac.wordpress.org/browser/zero-spam/tags/5.7.10/includes/class-db.php#L442 ↗
- https://plugins.trac.wordpress.org/browser/zero-spam/tags/5.7.10/includes/templates/admin-modal-details.php#L200 ↗
- https://plugins.trac.wordpress.org/browser/zero-spam/tags/5.7.10/modules/contactform7/class-contactform7.php#L85 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3709762%40zero-spam&new=3709762%40zero-spam ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/01540d78-ae46-4556-9a7f-3f8b8dbbcbd7?source=cve ↗