CVE-2024-11938 in One Click Upsell Funnel Plugin
الملخص
بحسب VulDB • 28/06/2026
يُعدّ إضافة "The One Click Upsell Funnel for WooCommerce – Funnel Builder for WordPress"، التي تتيح إنشاء عروض Cross-Selling وUpsell ما بعد الشراء لتعزيز المبيعات وزيادة الأرباح عبر منشئ قمع المبيعات (Sales Funnel Builder) لـWordPress، عرضة لهجوم تخزين البرمجة النصية بين المواقع (Stored XSS). يحدث هذا الثغرة في جميع الإصدارات حتى 3.4.9 وشاملةً لها، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب من الرموز الخاصة على السمات التي يزودها المستخدمون عبر الاختصار `wps_wocuf_pro_yes` الخاص بالإضافة. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون صلاحيات مستوى "المساهم" (contributor) فأعلى، حقن نصوص برمجية ويب تعسفية في الصفحات، والتي ستُنفَّذ كلما قام مستخدم بالوصول إلى الصفحة التي تم حقن النصوص فيها.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.