PT-2026-73087
CVE-2026-15002
·
تاريخ النشر
2026-08-15
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي Platnosci Online Blue Media (Autopay) لإصدارات WordPress السابقة للإصدار 5.0.1
الوصف
تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر معلمة POST
bm woocommerce css editor content. يتم ربط الدالة Css Editor::handle save() بخطاف init في WordPress بواسطة Settings Manager::init once() دون إجراء فحوصات للصلاحيات أو التحقق من الرقم العشوائي (nonce) أو تنقية المدخلات. وهذا يسمح للمهاجمين غير المصادق عليهم بكتابة بيانات خام إلى الخيار woocommerce bluemedia settings باستخدام update option(). يتم بعد ذلك عرض المحتوى دون تصفية الإخراج داخل كتلة أنماط في صفحة الدفع في WooCommerce بواسطة Css Frontend::print to wp head()، مما يتيح تنفيذ نصوص برمجية ويب تعسفية عندما يزور المستخدم الصفحة المتأثرة.التوصيات
قم بتحديث المكون الإضافي Platnosci Online Blue Media (Autopay) لـ WordPress إلى الإصدار 5.0.1 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾