CVE-2026-97470

WordPress için geliştirilen Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental eklentisinin 3.0.1 dahil tüm sürümleri, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle, Müşteri rolüne verilen unfiltered_html yetkisi aracılığıyla Yorum İçeriği üzerinden Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, abone düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde çalışacak rastgele web betikleri yerleştirmesini mümkün kılar. Bu durum WooCommerce'in aktif olmasını gerektirir; ancak müşteri rolü yönetici onayı olmadan serbestçe kaydedilebildiği için, istismar işlemi aslında WooCommerce hesabı açan herhangi bir kimliği doğrulanmamış ziyaretçi tarafından gerçekleştirilebilir. Eklentinin kendi listeleme sayfası şablonları çıktıyı wp_kses_post() ile temizlese de saklanan yük, kimlik doğrulaması gerektirmeyen GET /wp-json/wp/v2/comments REST uç noktası (content.rendered) ve yazı/yorum RSS beslemeleri aracılığıyla temizlenmeden döndürülerek yorum içeriğini işleyen tüm headless istemcileri, besleme okuyucuları veya üçüncü taraf araçları riske atmaktadır.