یک آسیب‌پذیری امنیتی با درجه شدت High در افزونه European VAT Compliance Assistant for WooCommerce در پلتفرم وردپرس شناسایی شده است. این نقص امنیتی که با شناسه CVE-2026-100316 ثبت شده، در تمامی نسخه‌های این افزونه تا ورژن 1.36.10 وجود دارد.
جزئیات فنی آسیب‌پذیری
این مشکل از نوع Stored Cross-Site Scripting (XSS) است و به دلیل عدم پاک‌سازی مناسب ورودی‌ها (Insufficient Input Sanitization) و نقص در خروجی‌های Escape شده رخ می‌دهد. عامل تهدید می‌تواند از طریق دستکاری هدر CF-IPCountry، اسکریپت‌های وب دلخواه خود را تزریق کند.
سازوکار حمله و تاثیرات
- بردار حمله: مهاجمان بدون نیاز به احراز هویت (Unauthenticated) می‌توانند مقادیر مخرب را در هدرهای HTTP ارسال کنند.
- پایداری: این مقادیر مخرب به صورت مستقیم در order post-meta در هنگام فرآیند تسویه حساب مهمان (Guest Checkout) ذخیره می‌شوند.
- نتیجه: هرگاه کاربری (مانند مدیر سایت) به صفحاتی که این داده‌ها در آن‌ها نمایش داده می‌شوند دسترسی پیدا کند، اسکریپت‌های تزریق شده در مرورگر او اجرا خواهند شد.
