یک آسیب‌پذیری از نوع Stored Cross-Site Scripting (XSS) در افزونه Ditty (نسخه‌های پیش از 3.1.70) شناسایی شده است که شناسه‌ی CVE-2026-93339 را دریافت کرده است. این نقص امنیتی به کاربران احراز هویت شده‌ای که دارای سطح دسترسی نویسنده (Author) یا بالاتر هستند اجازه می‌دهد تا کدهای HTML مخرب را در وب‌سایت تزریق کنند.
تحلیل فنی آسیب‌پذیری
این مشکل در تابع ditty_layout_render_tag_wrapper() ریشه دارد. در این تابع، مقادیر مربوط به ویژگی‌های Wrapper که توسط کاربر ارسال می‌شوند، بدون بررسی در یک لیست سفید (Allowlist)، مستقیماً به عنوان نام عناصر HTML درج می‌شوند. این رویکرد باعث می‌شود مکانیزم‌های پاک‌سازی استاندارد وردپرس مانند wp_kses_post() دور زده شوند، زیرا عملیات Sanitization در مرحله‌ای رخ می‌دهد که کد مخرب پیش از آن وارد ساختار HTML شده است.
تاثیرات و ریسک‌ها
- سطح دسترسی مورد نیاز: کاربرانی با نقش Author یا بالاتر.
- نوع حمله: تزریق عناصر HTML دلخواه که می‌تواند منجر به سرقت Session Cookies یا تغییر ظاهر صفحه برای کاربران دیگر شود.
- شدت آسیب‌پذیری: متوسط (Medium).
به مدیران سیستم و متخصصان امنیت توصیه می‌شود در سریع‌ترین زمان ممکن این افزونه را به نسخه‌ی 3.1.70 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا از بروز حملات احتمالی جلوگیری شود.
