در افزونه YMC Filter برای سیستم مدیریت محتوای وردپرس (WordPress)، یک آسیب‌پذیری از نوع Stored DOM-Based Cross-Site Scripting (XSS) شناسایی شده است که با شناسه CVE-2026-109983 ثبت شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در تمامی نسخه‌های این افزونه تا ورژن 3.12.19 وجود دارد و دلیل بروز آن، عدم پاک‌سازی مناسب ورودی‌ها (Input Sanitization) و عدم خروج امن داده‌ها (Output Escaping) در پارامتر post_title است.
تاثیر و سطح دسترسی
عوامل تهدید که دارای دسترسی تأیید شده در سطح Author یا بالاتر باشند، می‌توانند از این آسیب‌پذیری برای تزریق اسکریپت‌های وب دلخواه در صفحات سایت استفاده کنند. این اسکریپت‌های تزریق شده، هر زمان که کاربری به صفحه مورد نظر مراجعه کند، در مرورگر او اجرا خواهند شد.
تحلیل نقطه ضعف
بررسی‌ها نشان می‌دهد که REST endpoint مربوط به قابلیت تکمیل خودکار (Autocomplete) با یک Permission Callback ثبت شده است که به دلیل نقص در پیاده‌سازی، اجازه اجرای عملیات‌های غیرمجاز را به کاربران با سطح دسترسی محدود می‌دهد.
