→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-104926 · woocommerce-extra-product-options-pro

تزریق اسکریپت بازتابی (Reflected XSS) در افزونه WooCommerce Extra Product Options Pro

افزونه WooCommerce Extra Product Options Pro در همه نسخه‌های تا و شامل 3.3.2، به‌دلیل پاک‌سازی ناکافی ورودی و گریز (escaping) ناکافی خروجی، از طریق پارامترهای fieldname_start و fieldname_end در برابر تزریق اسکریپت از طریق وب از نوع بازتابی آسیب‌پذیر است. مهاجم بدون احراز هویت می‌تواند اسکریپت دلخواه را در صفحه تزریق کند که تنها اگر کاربر فریب بخورد و عملی مانند کلیک روی یک پیوند را انجام دهد اجرا می‌شود؛ بهره‌برداری فقط در صفحات محصولی ممکن است که فیلد اضافی Date & Time Range Picker پیکربندی شده باشد و نام فیلد در سورس همان صفحه دیده می‌شود. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا از فایروال وب استفاده کنید و از ادامه استفاده از نسخه آسیب‌پذیر خودداری نمایید.