→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-97328 · webp-express
تزریق اسکریپت از طریق وب (XSS) در افزونه WebP Express
افزونه WebP Express در نسخه‌های 0.25.16 و پیش‌تر، مقادیر ورودی را در صفات عناصر HTML به درستی پاکسازی نمی‌کند. این نقص به کاربران احرازویت‌نشده اجازه می‌دهد محتوای مخرب را ارسال کرده و کدهای اسکریپت را در مرورگر سایر کاربران، از جمله مدیران سیستم، اجرا کنند. از آنجا که این آسیب‌پذیری فاقد پچ رسمی است، اکیداً توصیه می‌شود تا زمان انتشار به‌روزرسانی، افزونه را به طور موقت غیرفعال کرده یا از قوانین فایروال وب (WAF) استفاده کنید.
نسخه‌های تحت تأثیر
<= 0.25.16
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته webp-express را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.