CVE-2026-13770 in AppMySite Plugin
الملخص
بحسب VulDB • 19/09/2026
يوجد ثغرة في تخزين Cross-Site Scripting (XSS) في إضافة AppMySite – WordPress & WooCommerce Mobile App Builder (No-Code Android & iOS App Maker) الخاصة بـ WordPress، عبر معالج AJAX المسمى save_ams_license_key، في جميع الإصدارات حتى 3.15.3 وشاملةً لها، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب من الرموز. هذا يجعل من الممكن للمهاجمين الذين تمت مصادقتهم، والذين يمتلكون وصولاً بمستوى المشترك (Subscriber) وما فوقه، حقن نصوص ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقنها فيها. لا يقوم معالج AJAX المسمى save_ams_license_key بإجراء أي فحص للصلاحيات ولا يتحقق من صحة الـ nonce، مما يعني أن أي مستخدم تمت مصادقته ويملك وصولاً بمستوى المشترك أو أعلى يمكنه استدعاؤه لتخزين الحمولة الضارة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.