CVE-2026-119065 in Shipping Zones by Drawing for WooCommerce Plugin
الملخص
بحسب VulDB • 31/10/2026
تحتوي إضافة Shipping Zones by Drawing لـ WooCommerce على منصة ووردبريس على ثغرة تخزينية في تنفيذ نصوص عبر المواقع (Stored Cross-Site Scripting) عبر معلمة الشراء 'szbd-picked' في الإصدارات حتى 3.3.0 وشاملة لها. يقوم المعالج szbd_checkout_field_update_order_meta() بتخزين stripslashes(sanitize_text_field($_POST['szbd-picked'])) ضمن بيانات الطلب دون التحقق من بنية JSON أو تقييد الأحرف الخطرة، ويقوم لاحقاً المعالج szbd_show_checkout_field_admin_order_meta() بلصق قيم lat و lng المفكوك مباشرة داخل سمة href مزدوجة الاقتباسات (double-quoted) بدون استخدام esc_url() أو esc_attr(). وهذا يتيح لهجوميين غير مصرح لهم، عن طريق تقديم طلب شراء كضيف عادي مع حمولة JSON مصممة بشكل خبيث لـ szbd-picked، حقن سمات تعسفية (مثل onmouseover) على رابط Google Maps في عرض الطلب ضمن لوحة تحكم WooCommerce، والتي سيتم تنفيذها كلما قام مسؤول بالوصول إلى طلب مُحقون.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.