CVE-2026-12126

WCFM Marketplace – سوق متعدد البائعين لـ WooCommerce، الإصدارات الأقدم من 3.7.4

يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى البائع أو أعلى بتنفيذ هجمات البرمجة النصية عبر المواقع المخزنة (Stored Cross-Site Scripting). يمكن للمهاجم حقن نصوص برمجية ويب تعسفية عن طريق تحميل مرفق وسائط يحتوي على post title مُصمم خصيصًا عبر نقطة نهاية واجهة برمجة تطبيقات REST الخاصة بـ WordPress ’/wp-json/wp/v2/media‘. يتم بعد ذلك إخراج العنوان غير المُعالج ضمن JSON لـ DataTables وإدراجه كـ innerHTML عندما يقوم مستخدم ذو امتيازات بتحميل لوحة تحكم الوسائط، مما يؤدي إلى تنفيذ البرنامج النصي في متصفح المستخدم.

قم بتحديث WCFM Marketplace – Multivendor Marketplace for WooCommerce إلى الإصدار 3.7.4 أو أحدث.