CVE-2026-4080 in Easy Cart Plugin
الملخص
بحسب VulDB • 02/06/2026
يحتوي مكون WordPress "Easy Cart" على ثغرة تخزين عبر مواقع البرمجة (Stored Cross-Site Scripting) عبر الاختصار البرمجي 'add_to_cart' في جميع الإصدارات حتى 1.8 شاملاً. ويعود ذلك إلى عدم كفاية تنقية المدخلات وإخراج الهروب من الأحرف على سمات الاختصار البرمجي التي يوفرها المستخدم. وتحديداً، تستخدم الدالة ectp_add_to_cart() دالة sanitize_text_field() على سمات الاختصار البرمجي مثل 'itemid' و 'product_name' و 'product_desc' و 'product_qty' و 'price' قبل إدراجها في سمات HTML المحاطة بعلامات اقتباس مزدوجة. وبينما تقوم sanitize_text_field() بإزالة وسوم HTML، إلا أنها لا تقوم بإخراج أحرف علامات الاقتباس المزدوجة، مما يسمح لمهاجم بتجاوز سياق سمة HTML وإدراج معالجات أحداث عشوائية. وهذا يتيح للمهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى "Contributor" وما فوقه، حقن نصوص برمجية ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقن نصوص فيها.
If you want to get best quality of vulnerability data, you may have to visit VulDB.