یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-96899 در افزونه Optima Express IDX برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است. این نقص امنیتی در نسخه‌های پیش از 8.7.6 وجود دارد و به مهاجمان اجازه می‌دهد تا حملات تزریق کد را اجرا کنند.
جزئیات فنی آسیب‌پذیری
این مشکل به دلیل عدم خنثی‌سازی (Neutralization) مناسب مقادیر اسکریپت ارسالی از طریق یکی از REST endpoints رخ می‌دهد. زمانی که یک پست رندر می‌شود، این مقادیر بدون بررسی کافی در بخش document head قرار گرفته و اجرا می‌شوند. این وضعیت منجر به ایجاد یک آسیب‌پذیری از نوع Stored Cross-Site Scripting (XSS) می‌شود.
سطح دسترسی و تاثیرات
- سطح دسترسی مورد نیاز: کاربرانی با نقش پایین (مانند Author) می‌توانند از این نقص برای اجرای حملات استفاده کنند.
- بالای رفتن سطح دسترسی: گزارش‌ها حاکی از آن است که در برخی نسخه‌ها، عدم بررسی مجوزها (Authorization check) در اکشن‌های AJAX، امکان افزایش سطح دسترسی (Privilege Escalation) را فراهم می‌کند.
توصیه‌های امنیتی
به مدیران وب‌سایت‌هایی که از این افزونه استفاده می‌کنند توصیه می‌شود سریعاً آن را به نسخه 8.7.6 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا از سوءاستفاده احتمالی توسط عوامل تهدید جلوگیری شود.
