آسیب پذیری Stored XSS در افزونه PowerPack Lite for Beaver Builder (CVE-2026-110897)

شناسه CVE: CVE-2026-110897
تاریخ انتشار: ۱۸ اکتبر ۲۰۲۶، ساعت ۱۱:۱۶
شدت: ۷.۱ از ۱۰ (بالا)

شرح آسیب پذیری:
در افزونه PowerPack Lite for Beaver Builder محصول IdeaBox Creations با اسلاگ powerpack-addon-for-beaver-builder، یک آسیب پذیری از نوع «خنثی‌سازی نادرست ورودی در هنگام تولید صفحه وب» یا Cross-site Scripting (XSS) شناسایی شده است. این نقص امنیتی که در دسته CWE-79 قرار می‌گیرد، امکان اجرای Stored XSS را برای مهاجم فراهم می‌کند. نسخه‌های آسیب پذیر این افزونه تا 1.3.1 هستند.

جزئیات فنی:
در Stored XSS، کد مخرب به‌جای بازتاب لحظه‌ای، در پایگاه داده ذخیره می‌شود و هر بار که صفحه آسیب پذیر بارگذاری می‌شود، در مرورگر کاربران اجرا می‌گردد. در PowerPack Lite for Beaver Builder، ورودی‌های کاربر در برخی ماژول‌ها و ویجت‌های این افزونه بدون پالایش کافی ذخیره و در پیشخوان مدیریت یا صفحات عمومی نمایش داده می‌شوند. از آنجا که این افزونه مجموعه‌ای از ویجت‌ها و قالب‌های آماده را برای صفحه‌ساز Beaver Builder فراهم می‌کند، مسیرهای متعددی برای ورود داده وجود دارد. مهاجم می‌تواند با ذخیره یک payload اسکریپتی در تنظیمات ویجت یا محتوای صفحه، آن را ماندگار کرده و مدیر سایت یا بازدیدکنندگان را قربانی اجرای آن کند. پیامدهای احتمالی شامل سرقت کوکی‌ها و توکن‌های نشست مدیر، تغییر محتوای صفحات، ایجاد کاربر مدیریتی جعلی یا هدایت کاربران به صفحات فیشینگ است. از آنجا که ویجت‌های صفحه‌ساز در معرض تنظیمات متعدد قرار دارند، پایش سطح حمله دشوارتر از یک فیلد ورودی ساده است.

توصیه امنیتی:
مدیران وردپرس باید در اسرع وقت افزونه PowerPack Lite for Beaver Builder را به نسخه‌ای بالاتر از 1.3.1 ارتقا دهند. تا زمان به‌روزرسانی، توصیه می‌شود ورودی‌های ویجت‌ها و ماژول‌های افزونه در سمت سرور پالایش شده و خروجی‌ها به‌درستی Escape شوند. فعال‌سازی WAF با قواعد مقابله با XSS، اعمال Content Security Policy (CSP)، محدودکردن دسترسی به ویرایشگر Beaver Builder و بازبینی محتوای ذخیره‌شده در پایگاه داده از اقدامات کاهشی مؤثر هستند. همچنین توصیه می‌شود پس از به‌روزرسانی، محتوای صفحات ساخته‌شده با این افزونه برای شناسایی اسکریپت‌های مخرب بازبینی و در صورت نیاز پاک‌سازی شوند.

نکته عملیاتی برای تیم‌های دواپس و امنیت سرور:
افزونه‌های صفحه‌ساز به‌دلیل دسترسی گسترده به محتوای سایت و تنظیمات ویجت، سطح حمله بزرگی برای Stored XSS ایجاد می‌کنند. پایش محتوای ذخیره‌شده، اعمال سیاست‌های سخت‌گیرانه برای Escape خروجی و بازبینی دوره‌ای رفتار ویجت‌های جانبی، بخشی از اصول نگهداری امن زیرساخت وب است. در سایت‌هایی که از صفحه‌سازهای محبوب مانند Beaver Builder استفاده می‌کنند، توجه به امنیت افزونه‌های مکمل و کنترل دقیق دسترسی کاربران به ویرایشگر، می‌تواند از تبدیل یک آسیب پذیری ساده به یک حادثه امنیتی گسترده جلوگیری کند.