آسیب پذیری Stored DOM-based XSS در افزونه YMC Filter (CVE-2026-109983)

شناسه CVE: CVE-2026-109983
تاریخ انتشار: ۱۷ اکتبر ۲۰۲۶، ساعت ۸:۱۶
شدت: ۶.۴ از ۱۰ (متوسط)

شرح آسیب پذیری:
افزونه YMC Filter وردپرس در تمامی نسخه‌های تا 3.12.19 در برابر Stored DOM-Based Cross-Site Scripting از طریق پارامتر post_title آسیب پذیر است. این ضعف ناشی از پالایش ناکافی ورودی و عدم Escape مناسب خروجی است و به مهاجمان احراز هویت‌شده با دسترسی سطح نویسنده (Author) و بالاتر اجازه می‌دهد اسکریپت‌های وب دلخواه را در صفحات سایت تزریق کنند؛ اسکریپت‌هایی که هر بار بازدید کاربر از صفحه آلوده اجرا می‌شوند.

جزئیات فنی:
در این آسیب پذیری، مسیر autocomplete REST endpoint با یک permission callback ثبت شده که بدون هیچ شرطی مقدار true برمی‌گرداند. این بدان معناست که هر بازدیدکننده سایت — حتی کاربران بدون احراز هویت — می‌تواند payload را صرفاً با تایپ در کادر جستجوی فیلتر YMC فعال کند؛ در حالی که برای ذخیره‌سازی آن تنها دسترسی سطح نویسنده لازم است. ترکیب این دو شرط، یک بردار حمله کم‌اصطکاک ایجاد می‌کند: نویسنده یا کاربر بالاتر، payload را در پارامتر post_title ذخیره می‌کند و سپس هر بازدیدکننده عادی با استفاده از قابلیت autocomplete، آن را اجرا می‌کند. از آنجا که اسکریپت در سمت مرورگر و پس از رندر DOM اجرا می‌شود، مهاجم می‌تواند به سرقت کوکی‌ها و توکن‌های نشست، تغییر محتوای صفحه، هدایت کاربران به صفحات فیشینگ یا اجرای اقدامات جعلی در بستر نشست قربانی دست یابد. قرار گرفتن این آسیب پذیری در دسته Stored DOM-based XSS، پایش آن را دشوارتر از XSS بازتابی می‌کند، زیرا payload در پایگاه داده ذخیره شده و در زمان رندر به‌صورت پویا فعال می‌شود.

توصیه امنیتی:
مدیران وردپرس باید در اسرع وقت افزونه YMC Filter را به نسخه‌ای بالاتر از 3.12.19 ارتقا دهند. تا زمان به‌روزرسانی، توصیه می‌شود permission callback مربوط به autocomplete REST endpoint بازبینی و محدود به کاربران مجاز شود، ورودی‌های post_title در سمت سرور پالایش گردند و خروجی‌ها به‌درستی Escape شوند. فعال‌سازی WAF با قواعد مقابله با XSS، اعمال Content Security Policy (CSP) و پایش محتوای ذخیره‌شده در پایگاه داده برای شناسایی payloadهای مشکوک از اقدامات کاهشی مؤثر هستند.

نکته عملیاتی برای تیم‌های دواپس و امنیت سرور:
این آسیب پذیری نشان می‌دهد که یک permission callback سهل‌گیرانه در یک endpoint جانبی می‌تواند کل مسیر بهره‌برداری را هموار کند. بازبینی دوره‌ای مجوزهای REST API، اعمال اصل حداقل دسترسی، پایش محتوای ذخیره‌شده و سخت‌سازی لایه‌های سمت مرورگر، بخشی از اصول نگهداری امن زیرساخت وب است. در سایت‌هایی که از افزونه‌های فیلتر و جستجوی پیشرفته استفاده می‌کنند، توجه به رفتار endpointهای autocomplete و کنترل دقیق سطح دسترسی آن‌ها می‌تواند از تبدیل یک ضعف ساده به یک حادثه امنیتی گسترده جلوگیری کند.