یک آسیب‌پذیری امنیتی از نوع Stored Cross-Site Scripting (XSS) در افزونه Automatic.css برای سیستم مدیریت محتوای وردپرس شناسایی شده است که با شناسه CVE-2026-15273 ثبت گردید.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در تمامی نسخه‌های 4.0.0 این افزونه وجود دارد و دلیل بروز آن، عدم پاک‌سازی مناسب ورودی‌ها (Insufficient Input Sanitization) و عدم خروجی‌گیری ایمن (Output Escaping) است. مهاجمان می‌توانند از طریق پارامتر REQUEST_URI، اسکریپت‌های وب دلخواه خود را در پایگاه داده تزریق کنند.
سناریوی حمله و تاثیرات
- دسترسی مورد نیاز: مهاجم برای اجرای این حمله نیازی به احراز هویت (Unauthenticated) ندارد.
- هدف حمله: این آسیب‌پذیری زمانی فعال می‌شود که یک کاربر با سطح دسترسی مدیر (Administrator)، صفحه تنظیمات Activity Log را مشاهده کند.
- نتیجه: در صورت موفقیت، اسکریپت تزریق شده در مرورگر مدیر اجرا شده و می‌تواند منجر به سرقت Session Cookies، تغییر تنظیمات سایت یا اجرای عملیات غیرمجاز از طرف مدیر شود.
