→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-96894 · erp

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce

افزونه ERP (مجموعه کامل منابع انسانی، حسابداری و CRM برای ووکامرس) در همه نسخه‌های تا و شامل 1.17.10 به‌دلیل پاک‌سازی ناکافی ورودی و گریز ناکافی خروجی، از طریق متن ایمیل‌های ورودی در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) آسیب‌پذیر است. مهاجمان بدون احراز هویت می‌توانند اسکریپت‌های وب دلخواه را در صفحاتی تزریق کنند که هنگام مشاهده توسط کاربران اجرا می‌شود و ممکن است به سرقت نشست، دستکاری رابط کاربری یا انجام اقدامات ناخواسته در مرورگر قربانی منجر شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار اصلاحیه، افزونه را موقتاً غیرفعال کنید یا ورودی‌های مرتبط را با فایروال برنامه وب (WAF) محدود و پایش نمایید.