→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-84281 · fancy-product-designer

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Fancy Product Designer

افزونه Fancy Product Designer تا نسخه ۶.۵.۲ به دلیل sanitization ناکافی ورودی و escaping خروجی در برابر تزریق اسکریپت ذخیره‌شده از طریق فیلد productTitle در متای _fpd_data آیتم سفارش آسیب‌پذیر است. مهاجمان احراز هویت‌نشده می‌توانند از طریق اکشن AJAX بدون nonce یا بررسی قابلیت، اسکریپت مخرب را با escapeهای یونیکد JSON تزریق کنند که پس از decode به تگ‌های اجرایی تبدیل می‌شود و هنگام مشاهده صفحات توسط کاربران اجرا می‌گردد. با وجود پچ امنیتی، به‌روزرسانی فوری به نسخه امن برای جلوگیری از سرقت نشست و اجرای کد در مرورگر توصیه می‌شود.