یک آسیب‌پذیری امنیتی از نوع Stored Cross-Site Scripting (XSS) در نسخه‌های پیش از 6.2.0 افزونه Shopclass شناسایی شده است که با شناسه CVE-2026-104479 ثبت شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی زمانی رخ می‌دهد که قابلیت TinyMCE در بخش Frontend فعال باشد. در این حالت، کاربرانی که به صورت خودکار ثبت‌نام کرده‌اند و دسترسی مدیریت (Admin) ندارند، می‌توانند اسکریپت‌های مخرب را در بخش توضیحات لیست اقلام (Item Listing Descriptions) تزریق کنند.
مکانیزم حمله
- عامل تهدید با ارسال کدهای JavaScript مخرب، از نقص در فایل
ItemActions.phpبهره می‌برد. - این فایل ورودی‌ها را بدون حذف تگ‌های خطرناک (Tag Stripping) ذخیره می‌کند.
- در نتیجه، هر بازدیدکننده‌ای که صفحه مربوط به آن کالا را مشاهده کند، اسکریپت مخرب در محیط مرورگر او و در Origin سایت اجرا خواهد شد.
توصیه امنیتی
به مدیران سیستم و متخصصان امنیت توصیه می‌شود هرچه سریع‌تر افزونه Shopclass را به نسخه 6.2.0 یا بالاتر به‌روزرسانی کنند تا این حفره امنیتی مسدود شود.
