یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-89005 در افزونه WPeMatico RSS Feed Fetcher برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی در نسخه‌های پیش از 2.8.26 وجود دارد و ناشی از عدم پاک‌سازی (Sanitization) و خروج (Escape) مناسب داده‌ها در یکی از فیلدهای پیکربندی کمپین است.
جزئیات فنی آسیب‌پذیری
زمانی که قابلیت خاصی در این افزونه فعال باشد، کاربران با سطح دسترسی Contributor (همکار) و بالاتر می‌توانند از این نقص برای اجرای حملات Stored Cross-Site Scripting (XSS) استفاده کنند. در این سناریو، کد مخرب در دیتابیس ذخیره شده و هرگاه کاربری با سطح دسترسی بالاتر (مانند Administrator) صفحه مربوط به آن کمپین را مشاهده کند، کد تزریق شده در نشست (Session) آن کاربر اجرا خواهد شد.
تاثیرات و مخاطرات
- ارتقاء سطح دسترسی (Privilege Escalation): مهاجم می‌تواند از طریق اجرای اسکریپت در مرورگر مدیر سایت، دسترسی‌های مدیریتی را به دست آورد.
- سرقت نشست (Session Hijacking): امکان سرقت کوکی‌های حساس و توکن‌های احرازی کاربران سطح بالا.
- تغییر محتوا: امکان دستکاری رابط کاربری یا هدایت کاربران به سایت‌های جعلی.
توصیه امنیتی
به تمامی مدیران وب‌سایت‌هایی که از این افزونه استفاده می‌کنند توصیه می‌شود در سریع‌ترین زمان ممکن، WPeMatico RSS Feed Fetcher را به نسخه 2.8.26 یا بالاتر به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
