- شناسه CVE-2025-10181 :CVE
- CWE-79 :CWE
- yes :Advisory
- منتشر شده: سپتامبر 20, 2025
- به روز شده: سپتامبر 20, 2025
- امتیاز: 6.4
- نوع حمله: Cross Site Scripting (XSS)
- اثر گذاری: Information Disclosure
- حوزه: سیستم مدیریت محتوا
- برند: dartiss
- محصول: Draft List
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
آسیب‌پذیری در پلاگین Draft List برای وردپرس نسخه‌های 2.6 و پایین‌تر، ناشی از عدم پاک‌سازی و بررسی امنیتی مناسب پارامترهای ورودی کاربران در shortcode drafts است. این ضعف امکان تزریق XSS ذخیره‌شده را برای کاربران احراز هویت‌شده با سطح دسترسی Contributor و بالاتر فراهم می‌کند. در نتیجه مهاجم می‌تواند اسکریپت‌های دلخواه را در صفحات قرار دهد و این اسکریپت‌ها هر بار که کاربران صفحه را باز می‌کنند، در مرورگر آن ها اجرا می‌شود.
توضیحات
آسیب‌پذیری CVE-2025-10181 در پلاگین Draft List برای وردپرس که برای نمایش لیست پست‌های draft (پیش‌نویس) استفاده می‌شود، ناشی از عدم پاک‌سازی و بررسی امنیتی مناسب پارامتر های ورودی‌های کاربر در shortcode drafts است و مطابق با CWE-79 (عدم خنثی‌سازی مناسب ورودی‌ها هنگام تولید صفحات وب) طبقه‌بندی می‌شود.
این ضعف در تمام نسخه‌های 2.6 و پایین‌تر وجود دارد و به کاربران احراز هویت‌شده با حداقل دسترسی Contributor امکان می‌دهد اسکریپت‌های وب دلخواه را در صفحات وارد کنند، به طوری که هر بار کاربران صفحه را باز می‌کنند، این اسکریپت‌ها در مرورگر آنها اجرا می‌شوند.
این آسیب‌پذیری از طریق شبکه با پیچیدگی پایین و بدون نیاز به تعامل کاربر قابل بهره‌برداری است، اما نیاز به احراز هویت سطح Contributor دارد. مهاجم با بهره‌برداری از این ضعف می‌تواند کوکی‌ها، نشست‌ها و داده‌های کاربر را سرقت کند و همچنین محتوای صفحات یا عملکرد سایت را تغییر دهد. این وضعیت منجر به نقض محدود محرمانگی و یکپارچگی اطلاعات کاربران شده و امکان سرقت نشست یا فیشینگ در مرورگر قربانی را فراهم می‌کند.
توسعه‌دهندگان پلاگین این آسیب‌پذیری را در نسخه 2.6.1 با changeset 3363488 پچ کرده‌اند. اصلاحات شامل افزودن فرار مناسب پارامترهای ورودی و پاک‌سازی کامل ورودی‌ها است.
CVSS
| Score | Severity | Version | Vector String |
| 6.4 | MEDIUM | 3.1 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected through 2.6 | Draft List |
لیست محصولات بروز شده
| Versions | Product |
| Update to version 2.6.1, or a newer patched version | Draft List |
استفاده محصول در ایران
در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که WordPress pluginرا ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور پلاگین های محصولات WordPress در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.
| Approx. Usage in .ir Domain via Google
(Total Pages) |
Product |
| 28,100 | WordPress plugin |
نتیجه گیری
این آسیب‌پذیری در Draft List، به دلیل امکان تزریق XSS توسط کاربران با سطح دسترسی Contributor، تهدیدی قابل توجه برای سایت‌های وردپرس ایجاد می‌کند. برای کاهش ریسک و جلوگیری از بهره‌برداری، اقدامات زیر توصیه می‌شود:
- به‌روزرسانی فوری: پلاگین Draft List را به نسخه 2.6.1 یا بالاتر به‌روزرسانی کنید تا اصلاحات (changeset 3363488) اعمال شود.
- محدودسازی سطح دسترسی: سطح دسترسی Contributor را با دقت مدیریت کنید و از اعطای دسترسی غیرضروری به کاربران غیرقابل اعتماد خودداری کنید.
- استفاده از سیاست های امنیتی محتوا (CSP): CSP را در وب‌سرور فعال کنید تا اجرای اسکریپت‌های درون‌خطی (inline scripts) مسدود شود.
- نظارت بر shortcodeها: shortcodeهای سفارشی را برای شناسایی ویژگی‌های مشکوک بررسی کنید.
- استفاده از پلاگین های امنیتی: از فایروال‌های وردپرس مانند Wordfence یا Sucuri برای مسدود کردن حملات XSS بهره ببرید.
- بررسی صفحات: همه صفحات و پست‌ها را برای شناسایی shortcodeهای مخرب اسکن کنید و از ابزارهای امنیتی مثل WPScan استفاده نمایید.
- آموزش کاربران: مدیران سایت را در مورد ریسک XSS ذخیره شده و اهمیت به‌روزرسانی پلاگین ها آگاه کنید.
اجرای این اقدامات، ریسک اجرای اسکریپت مخرب را به حداقل رسانده و امنیت سایت‌های وردپرسی را در برابر ضعف‌های shortcode تضمین می‌کند.
امکان استفاده در تاکتیک های Mitre Attack
Initial Access (TA0001)
مهاجم با حساب معتبر سطح Contributor وارد وردپرس می‌شود و شورت‌کد drafts را با ورودی آلوده ذخیره می‌کند.
Execution (TA0002)
Payload جاوااسکریپت در مرورگر قربانی اجرا می‌شود (DOM/Browser Context) و می‌تواند APIهای وردپرس /REST را فراخوانی یا محتوای صفحه را دستکاری کند.
Persistence (TA0003)
ماندگاری از نوع «اپلیکیشن‌سطح» است: اسکریپتِ ذخیره‌شده در پُست/برگه/ویجت باقی می‌ماند و با هر رندر صفحه دوباره اجرا می‌شود تا زمانی که پاک/وصله شود.
Privilege Escalation (TA0004)
در صورت دسترسی به توکن‌های مدیریتی از طریق XSS یا سوءاستفاده از اکشن‌های ادمین، مهاجم می‌تواند نقش خود را ارتقا دهد یا کارهای سطح‌بالا انجام دهد (ایجاد اکانت ادمین، نصب افزونه و…).
Defense Evasion (TA0005)
کد تزریقی اغلب مبهم‌سازی/مینفای می‌شود تا از دید WAF سرویس‌های امنیتی پنهان بماند.
Credential Access (TA0006)
اسکریپت می‌تواند کوکی‌های نشست در صورت نبودِ HttpOnly یا از طریق باگ‌های فرعی را سرقت کند و نشست قربانی را تصاحب کند.
Input Capture: Keylogging (T1056.001)
کد تزریقی می‌تواند فیلدهای ورود/فرم‌ها را شنود و اعتبارنامه‌ها/توکن‌ها را جمع‌آوری کند.
Lateral Movement (TA0008)
با استفاده از نشستی که ربوده شده، روی همان سایت یا سایت‌های SSOیکپارچه متصل به وردپرس حرکت جانبی می تواند انجام می‌شود
Collection (TA0009)
برداشت داده از صفحات ادمین /REST (لیست کاربران، ایمیل‌ها، محتوا، توکن‌ها) و آماده‌سازی برای خروج آنها ممکن است
Exfiltration (TA0010)
ارسال داده‌های سرقتی (کوکی‌ها/توکن‌ها/فرم‌ها) به دامنه مهاجم با XHR/Fetch؛ امکان قطعه‌قطعه‌سازی/رمزگذاری برای اختفا وجود دارد.
Impact (TA0040)
اجرای کد در مرورگر به افشای اطلاعات (نشست/توکن/داده کاربر)، خدشه به یکپارچگی محتوا از طریق تزریق/تغییر اسکریپت، و اقدامات غیرمجاز با دسترسی کاربر قربانی می‌انجامد؛ در سناریوهای زنجیره‌ای، اختلال عملیاتی محدود نیز محتمل است.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-10181
- https://www.cvedetails.com/cve/CVE-2025-10181/
- https://www.wordfence.com/threat-intel/vulnerabilities/id/12a750c6-85b6-48fc-b006-adf0121610dc?source=cve
- https://vuldb.com/?id.325065
- https://github.com/dartiss/draft-list/blob/master/inc/create-lists.php
- https://wordpress.org/plugins/simple-draft-list/
- https://plugins.trac.wordpress.org/browser/simple-draft-list/tags/2.6/inc/create-lists.php#L339
- https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3363488%40simple-draft-list&new=3363488%40simple-draft-list&sfp_email=&sfph_mail
- https://cwe.mitre.org/data/definitions/79.html
