CVE-2026-8791

إصدارات نظام الحجز Trafft الأقدم من 1.0.18

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عندما يعمل المكون الإضافي في «وضع الوكالة» (agency mode) بسبب عدم إجراء فحص الصلاحيات في إجراء AJAX set options. يقوم معالج trafftSetOptions() بالتحقق من رقم عشوائي (nonce) متاح لأي مستخدم تمت مصادقته، لكنه يفشل في التحقق من الأذونات قبل استدعاء update option() لتعديل إعداد bookingWebsiteUrl. بعد ذلك، تقوم الدالة trafftAdminAssets() بإدراج سكريبت من bookingWebsiteUrl في قائمة الانتظار في كل صفحة واجهة مستخدم تعرض الرمز المختصر للحجز. وهذا يسمح للمستخدمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بإعادة توجيه مصدر البرنامج النصي إلى مصدر يتحكم فيه المهاجم وتنفيذ جافا سكريبت تعسفي في متصفحات جميع زوار الموقع، بما في ذلك المسؤولون.

قم بالتحديث إلى إصدار أحدث من 1.0.17.