کشف چندین آسیب‌پذیری XSS در افزونه Kubio AI Page Builder وردپرس

یک آسیب‌پذیری امنیتی از نوع Stored Cross-Site Scripting (XSS) در افزونه Kubio AI Page Builder برای سیستم مدیریت محتوای وردپرس شناسایی شده است که نسخه‌های پیش از 2.9.3 را تحت تاثیر قرار می‌دهد.

جزئیات فنی آسیب‌پذیری

این نقص امنیتی به دلیل عدم محدودسازی عناصر HTML مجاز به محیط ویرایشگر (Editor Context) رخ داده است. در نتیجه، مجموعه گسترده‌تری از تگ‌های HTML هنگام فیلتر کردن محتوای ارسالی توسط کاربران غیرمجاز (Unauthenticated Users) نیز پذیرفته می‌شوند. این موضوع به مهاجم اجازه می‌دهد تا کدهای مخرب (Markup) را در پایگاه داده ذخیره کند.

تاثیر و نحوه بهره‌برداری

اسکریپت‌های ذخیره شده توسط مهاجم، سپس در مرورگر هر بازدیدکننده‌ای که صفحه مربوطه را مشاهده کند یا مدیر سیستمی که در حال بررسی محتوای تایید نشده است، اجرا می‌شوند. این مسئله می‌تواند منجر به سرقت کوکی‌های نشست (Session Cookies)، تغییر ظاهر سایت یا اجرای دستورات غیرمجاز در سطح دسترسی مدیر شود.

تاریخچه آسیب‌پذیری‌های مشابه

• نسخه‌های تا 2.7.0 دارای آسیب‌پذیری XSS برای کاربران احراز هویت شده بودند.
• در نسخه‌های تا 2.8.4، نقص‌های مشابه در زمینه XSS ذخیره‌شده گزارش شده بود.
• در نسخه‌های تا 2.8.5، مشکلاتی نظیر Authorization Bypass و امکان آپلود فایل‌های دلخواه توسط کاربران با سطح دسترسی Contributor مشاهده شده است.

توصیه امنیتی: به تمامی مدیران سایت‌های وردپرسی توصیه می‌شود که این افزونه را فوراً به نسخه 2.9.3 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا از حملات احتمالی جلوگیری شود.

به‌روزرسانی (اکتبر 3, 2026 — Vuln Today)

به‌روزرسانی:

آسیب‌پذیری جدیدی از نوع Stored XSS با شناسه CVE-2026-88782 در افزونه Kubio AI Page Builder شناسایی شده است. این نقص امنیتی به دلیل عدم اعتبارسنجی صحیح URI scheme در مقادیر ورودی کاربر پیش از نمایش آن‌ها به عنوان هدف لینک (Link Target) رخ داده است.

این آسیب‌پذیری به کاربرانی با سطح دسترسی Contributor و بالاتر اجازه می‌دهد تا یک Payload مخرب را ذخیره کنند. این کد در مرورگر هر کاربری که روی لینک کلیک کند، از جمله مدیرانی (Administrator) که در حال پیش‌نمایش محتوای منتشر نشده هستند، اجرا خواهد شد. برای رفع این مشکل، کاربران باید افزونه خود را به نسخه 2.9.3 یا بالاتر به‌روزرسانی کنند.