CVE-2026-3641

المكوّن الإضافي Appmax لـ WordPress حتى الإصدار 1.0.3 ضمناً

يحتوي البرنامج على ثغرة ناتجة عن عدم وجود التحقق المناسب من صحة المدخلات في نقطة نهاية ويبهوك (webhook) عامة لواجهة برمجة التطبيقات REST. لا تطبق نقطة النهاية، الموجودة في /webhook-system، آليات التحقق من توقيع الويب هوك أو التحقق من السر أو المصادقة لتأكيد مصدر طلبات الويب هوك الواردة. يعالج المكون الإضافي البيانات غير الموثوق بها من معلمات event وdata دون التحقق من صحتها. وهذا يسمح للمهاجمين بالتلاعب بطلبات WooCommerce، بما في ذلك تعديل حالتها (قيد المعالجة، أو تم رد المبلغ، أو تم الإلغاء، أو قيد الانتظار) وإنشاء طلبات جديدة ببيانات عشوائية. يمكن للمهاجمين أيضًا إنشاء منتجات WooCommerce جديدة بتفاصيل يتحكم فيها المهاجمون مثل الأسماء والأوصاف والأسعار، وكتابة قيم عشوائية في بيانات تعريف منشورات الطلبات عن طريق انتحال أحداث webhook مشروعة.

يجب عدم استخدام الإصدارات الأقدم من 1.0.4.