آسیب پذیری XSS بازتابی در افزونه TableOn (CVE-2026-115611)

شناسه CVE: CVE-2026-115611
تاریخ انتشار: ۲۹ اکتبر ۲۰۲۶، ساعت ۱۱:۰۰
شدت: ۷.۱ از ۱۰ (بالا)

شرح آسیب پذیری:
در افزونه TableOn محصول PluginUs.Net با اسلاگ posts-table-filterable، یک آسیب پذیری از نوع «خنثی‌سازی نادرست ورودی در هنگام تولید صفحه وب» یا Cross-site Scripting (XSS) شناسایی شده است. این نقص امنیتی که در دسته CWE-79 قرار می‌گیرد، امکان اجرای XSS بازتابی (Reflected XSS) را برای مهاجم فراهم می‌کند. نسخه‌های آسیب پذیر این افزونه تا 1.0.7 هستند.

جزئیات فنی:
در XSS بازتابی، ورودی مخرب از طریق درخواست HTTP به صفحه بازگردانده شده و در مرورگر قربانی اجرا می‌شود. در افزونه TableOn، برخی پارامترهای فیلتر و جستجوی جدول بدون پالایش کافی در پاسخ سرور بازتاب داده می‌شوند. مهاجم می‌تواند با فریب کاربر و هدایت او به یک URL دستکاری‌شده، اسکریپت دلخواه را در مرورگر او اجرا کند. از آنجا که TableOn برای ساخت جداول تعاملی و قابل فیلتر استفاده می‌شود، این پارامترها در معرض دستکاری عمومی قرار دارند. سوءاستفاده موفق از این آسیب پذیری می‌تواند به سرقت کوکی‌ها یا اطلاعات نشست، جعل درخواست، تغییر محتوای صفحه یا هدایت کاربران به صفحات فیشینگ منجر شود. شدت بالای این آسیب پذیری (۷.۱) نشان می‌دهد که در صورت ترکیب با مهندسی اجتماعی، احتمال بهره‌برداری و پیامدهای آن قابل توجه است.

توصیه امنیتی:
مدیران وردپرس باید در اسرع وقت افزونه TableOn را به نسخه‌ای بالاتر از 1.0.7 ارتقا دهند. تا زمان به‌روزرسانی، توصیه می‌شود ورودی‌های فیلتر و جستجو در سمت سرور پالایش شده و خروجی‌ها به‌درستی Escape شوند. فعال‌سازی WAF با قواعد مقابله با XSS، اعمال Content Security Policy (CSP)، محدودکردن دسترسی به بخش مدیریت و آموزش کاربران برای عدم کلیک روی لینک‌های ناشناس از اقدامات کاهشی مؤثر هستند.

نکته عملیاتی برای تیم‌های دواپس و امنیت سرور:
XSS بازتابی در افزونه‌های جدول و فیلتر، به‌دلیل تعامل مستقیم با پارامترهای URL، یکی از رایج‌ترین مسیرهای تزریق اسکریپت در سایت‌های وردپرسی است. پایش مداوم پارامترهای ورودی، اعمال سیاست‌های سخت‌گیرانه Escape خروجی و استفاده از CSP در لایه سرور، بخشی از اصول نگهداری امن زیرساخت وب است. در سایت‌هایی که از جداول تعاملی برای نمایش داده‌های عمومی استفاده می‌کنند، بازبینی دوره‌ای افزونه‌های مرتبط و کنترل دقیق سطوح دسترسی می‌تواند از تبدیل یک آسیب پذیری بالا به یک حادثه امنیتی گسترده جلوگیری کند.