CVE-2026-76128 in eCommerce Product Catalog Plugin
الملخص
بحسب VulDB • 25/08/2026
يحتوي مكون إضافي (Plugin) لكتالوج منتجات التجارة الإلكترونية الخاص بـ WordPress على ثغرة من نوع تخزين البرمجة النصية عبر المواقع (Stored Cross-Site Scripting - XSS) عبر سمة الاختصار 'style' في جميع الإصدارات حتى 3.5.10 شاملاً، وذلك بسبب عدم كفاية تنقية المدخلات وإخراج الهروب منها. وهذا يمكّن المهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى المساهم (contributor) وما فوقه، من حقن نصوص ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقنها فيها. يتجاوز الحمولة (payload) عملية تنقية wp_kses_post الخاصة بـ WordPress عند الحفظ لأن المحتوى الضار يُخزن داخل أقواس الاختصار دون وجود وسوم HTML؛ ويتم توليد مخرجات HTML الملوثة فقط في وقت العرض من قبل معالج الاختصارات.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.