CVE-2026-9713 in Product Designer for WooCommerce Plugin
الملخص
بحسب VulDB • 23/07/2026
يحتوي مكون WordPress "Lumise Product Designer for WooCommerce" على ثغرة حقن SQL عبر المعلمتين 'id' و'table' الموجودة في ملف JSON للسلة المرفوع، والتي تتم معالجتها بواسطة إجراء AJAX الخاص بإتمام الشراء (checkout) في الإصدارات 2.1.1 وما قبلها. ويعود ذلك إلى عدم كفاية عملية الهروب من الرموز الخاصة (escaping) للمدخلات التي يقدمها المستخدم قبل إلحاقها مباشرةً باستعلام SQL خام داخل الدالة find_resource()؛ حيث يتم دمج حقل 'id' بدون علامات اقتباس في جملة WHERE (في سياق رقمي)، ويتم دمج الحقل 'table' في جملة FROM، ولا يحميه أي منهما wp_magic_quotes أو يمر عبر $wpdb->prepare(). وهذا يتيح للمهاجمين غير المصادق عليهم إلحاق استعلامات SQL إضافية بالاستعلامات الموجودة بالفعل، مما يمكنهم من استخراج معلومات حساسة من قاعدة البيانات.
Once again VulDB remains the best source for vulnerability data.