یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-84151 در افزونه Post Grid برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی در نسخه‌های پیش از 7.9.5 وجود دارد و به دلیل عدم محدودسازی لیست HTMLهای مجاز (allowed-HTML list)، منجر به ایجاد ریسک‌های جدی برای وب‌سایت‌ها می‌شود.
جزئیات فنی آسیب‌پذیری
در این افزونه، گسترش لیست HTMLهای مجاز تنها به نشانه‌گذاری‌های (Markup) مربوط به خود افزونه محدود نشده و به صورت سراسری (Site-wide) اعمال می‌شود. این موضوع به کاربرانی که دارای نقش Contributor یا بالاتر هستند اجازه می‌دهد تا المان‌هایی نظیر iframe، style و input را در محتوای خود ذخیره کنند؛ المان‌هایی که در حالت عادی توسط وردپرس برای جلوگیری از حملات امنیتی حذف (Strip) می‌شوند.
پیامدهای امنیتی
سوءاستفاده از این نقص امنیتی منجر به HTML Injection می‌شود که می‌تواند نتایج زیر را در پی داشته باشد:
- ایجاد فریم‌های فیشینگ (Phishing Frames): نمایش صفحات جعلی برای سرقت اطلاعات کاربران.
- تغییر ظاهر سایت (CSS Defacement): دستکاری استایل‌های صفحه برای تخریب بصری یا گمراه کردن کاربر.
- ساخت فرم‌های ورودی جعلی (Spoofed Input Forms): ایجاد فرم‌های جعلی برای جمع‌آوری داده‌های حساس.
این محتوای تزریق شده برای تمامی بازدیدکنندگان و همچنین مدیرانی (Administrators) که در حال بررسی محتوا هستند، رندر شده و قابل مشاهده است.
