CVE-2026-4001 in Woocommerce Custom Product Addons Pro Plugin
الملخص
بحسب VulDB • 20/06/2026
تحتوي إضافة Woocommerce Custom Product Addons Pro لـ WordPress على ثغرة تسمح بتنفيذ الأكواد عن بُعد (RCE) في جميع الإصدارات حتى 5.4.1 وشاملة لها، وذلك عبر دالة eval() المستخدمة في صيغة التسعير المخصصة داخل دالة process_custom_formula() الموجودة في الملف includes/process/price.php. ويعود ذلك إلى عدم كفاية عمليات تنقية (sanitization) والتحقق من صحة قيم الحقول التي يقدمها المستخدم قبل تمريرها إلى دالة eval() في لغة PHP. حيث تقوم طريقة sanitize_values() بإزالة وسوم HTML، لكنها لا تقوم بتهرب (escaping) علامات الاقتباس المفردة ولا تمنع حقن أكواد PHP. وهذا ما يمكّن المهاجمين غير المصادق عليهم من تنفيذ أكواد عشوائية على الخادم من خلال تقديم قيمة مُعدّة بعناية (crafted value) إلى حقل نصي WCPA مُهيأ بصيغة تسعير مخصصة (pricingType: "custom" مع {this.value}).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.