CVE-2026-3574 in Experto Dashboard for WooCommerce Plugin
الملخص
بحسب VulDB • 06/06/2026
تحتوي إضافة Experto Dashboard لـ WooCommerce الخاصة بـ WordPress على ثغرة تخزين برمجيات عبر المواقع (Stored Cross-Site Scripting) من خلال حقول إعدادات الإضافة (بما في ذلك 'حجم خط التنقل'، و'وزن خط التنقل'، و'حجم عنوان الخط'، و'وزن عنوان الخط'، و'حجم نص الخط'، و'وزن نص الخط') في جميع الإصدارات حتى 1.0.4 وشاملةً لها. ويعود ذلك إلى عدم كفاية تنقية المدخلات (عدم وجود دالة sanitize callback في register_setting()) وعدم وجود هروب مناسب للمخرجات (عدم استخدام esc_attr() في إخراج printf الخاص بـ field_callback()) على القيم التي يقدمها المستخدمون. مما يتيح لمهاجمين موثقين، يمتلكون وصولاً بمستوى المسؤول أو أعلى، حقن نصوص برمجية ويب تعسفية في صفحة إعدادات الإضافة والتي ستُنفَّذ كلما قام مستخدم بالوصول إلى صفحة الإعدادات. يؤثر هذا فقط على التثبيتات متعددة المواقع (multi-site) والتثبيتات التي تم فيها تعطيل unfiltered_html.
If you want to get best quality of vulnerability data, you may have to visit VulDB.