CVE-2026-97660
Açıklama
WordPress için WPC Product Options for WooCommerce eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 4.0.5 sürümü dahil tüm sürümlerde, Multipart Alan Adı üzerinden wpcpo-* Dizi Anahtarı aracılığıyla Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların, bir kullanıcı enjekte edilmiş sayfaya eriştiğinde çalışacak rastgele web betikleri eklemesini mümkün kılar. Kötü amaçlı yük, PHP'nin RFC1867 ayrıştırıcısının bayt bazında koruduğu ve sipariş öğesi metasına kaydettiği 'wpcpo-' ile başlayan çok parçalı (multipart) bir Content-Disposition alan adına gömüldüğü için bu durum, kimlik doğrulaması olmadan misafir ödeme işlemi yoluyla istismar edilebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wpclever WPC Product Options for WooCommerce | v ≤ 4.0.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.