PT-2026-60989
CVE-2026-57857
·
تاريخ النشر
2026-07-18
·
تاريخ التحديث
2026-07-20
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي Flow Payment لـ WordPress الإصدار 3.0.8
الوصف
تحدث ثغرة البرمجة النصية عبر المواقع (XSS) المنعكسة على صفحة الدفع في WooCommerce عندما يتعامل المكون الإضافي مع عمليات إلغاء الطلبات. يتم تمرير معلمة GET
error message إلى الدالة wc add notice() في ملف flowpayment-fl.php دون إجراء التنقية المناسبة للمدخلات أو التهرب من المخرجات. يمكن لمهاجم غير مصدق أن يصمم عنوان URL يحتوي على حمولة JavaScript في المعلمة error message؛ وإذا اتبع الضحية، الذي لديه جلسة دفع نشطة في WooCommerce، الرابط، يتم تنفيذ الحمولة في متصفح الضحية ضمن مصدر موقع WordPress.التوصيات
قم بتحديث المكون الإضافي Flow Payment لـ WordPress إلى إصدار أحدث من 3.0.8.
كإجراء تخفيفي مؤقت، تجنب استخدام المعلمة
error message في صفحة الدفع حتى يتم تحديث المكون الإضافي. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾