CVE-2026-6910

Bookero.pl – مكون إضافي لنظام الحجز عبر الإنترنت مخصص لإصدارات WordPress السابقة للإصدار 2.3

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات في دالة bookero products(). يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب تعسفية عبر سمات hide products وfilter products الخاصة بالرمز المختصر bookero products. يتم ربط هذه النصوص البرمجية مباشرةً في كتلة مضمنة <script> ويتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة.

قم بتحديث المكون الإضافي إلى إصدار أحدث من 2.2.

كإجراء تخفيفي مؤقت، قم بتقييد وصول المساهمين إلى تحرير الصفحات التي تستخدم الرمز القصير bookero products.