یک آسیب‌پذیری امنیتی با شدت High در افزونه GoSMTP Pro برای سیستم مدیریت محتوای وردپرس شناسایی شده است که تحت شناسه CVE-2026-96768 ثبت شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی از نوع Stored Cross-Site Scripting (XSS) است و در تمامی نسخه‌های این افزونه تا inclusive نسخه 1.2.3 وجود دارد. ریشه این مشکل به عدم پاک‌سازی مناسب ورودی‌ها (Insufficient Input Sanitization) و نقص در گریز از خروجی‌ها (Output Escaping) باز می‌گردد.
عامل تهدید می‌تواند از طریق محتوای کامنت‌ها در بدنه لاگ ایمیل‌ها (Email Log Body)، اسکریپت‌های وب دلخواه خود را تزریق کند. نکته فنی قابل توجه در این مورد این است که مکانیزم kses در وردپرس، جداکننده‌های تگ‌های کدگذاری شده به صورت Entity را حذف نمی‌کند و همین موضوع راه را برای اجرای کد مخرب هموار می‌سازد.
تاثیر و ریسک
- دسترسی مهاجم: مهاجمان بدون نیاز به احراز هویت (Unauthenticated) می‌توانند این حمله را اجرا کنند.
- نتیجه حمله: هرگاه یک کاربر (به‌ویژه مدیر سایت) به صفحه‌ای که حاوی اسکریپت تزریق شده است دسترسی پیدا کند، کد مخرب در مرورگر وی اجرا خواهد شد.
- پیامدها: این وضعیت می‌تواند منجر به سرقت کوکی‌های نشست (Session Cookies)، تغییر غیرمجاز در تنظیمات سایت یا هدایت کاربران به صفحات فیشینگ شود.
