PT-2026-73106
CVE-2026-15351
·
تاريخ النشر
2026-08-15
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 3.1
4.9
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
WC Vendors – WooCommerce Multivendor، WooCommerce Marketplace، Product Vendors، الإصدارات الأقدم من 2.7.1
الوصف
توجد ثغرة تسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «مدير المتجر» أو أعلى بتنفيذ هجوم حقن SQL عام. ويحدث ذلك بسبب عدم إجراء الهروب الكافي للمعلمة
status وعدم إعداد استعلام SQL بشكل صحيح. تقوم دالة الاستدعاء sanitize text field بإزالة علامات HTML ولكنها تفشل في إزالة أحرف SQL الخاصة. بالإضافة إلى ذلك، يتم تجاوز الحماية من علامة الشرطة المائلة (slash) لأن WP REST Server::serve request() تنفذ wp unslash() على معلمات GET قبل تشغيل دالة الاستدعاء الخاصة بالتنقية. وهذا يسمح للمهاجمين بإلحاق استعلامات SQL ضارة لاستخراج المعلومات الحساسة من قاعدة البيانات.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 2.7.0.
تجنب استخدام المعلمة
status في الطلبات حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾