تسعير صيغة HDWebmobile

حدد سعر منتج بناءً على أرقام يدخلها العميل باستخدام صيغة -- يتم تقييمها بأمان، دون استخدام PHP's eval() إطلاقًا.

• WordPress.org: https://wordpress.org/plugins/hdwebmobile-formula-pricing/
• المتطلبات: WordPress 6.9+، WooCommerce، PHP 7.4+
• الترخيص: GPLv2 أو أحدث

الوصف

يتيح إضافة تسعير صيغة HDWebmobile للعملاء إدخال القياسات أو الكميات في صفحة المنتج، ويقوم بتسعير المنتج مباشرةً من صيغة تكتبها أنت باستخدام أسماء تلك الحقول (مثل 10 + width * height * 0.05 لمادة مقطوعة حسب الطلب تُسعّر حسب المساحة). هذه حاجة حقيقية شائعة للمتاجر التي تبيع أقمشة مخصصة المقاسات، أو مطبوعات مؤطرة، أو عناصر محفورة، أو أي شيء يُسعّر حسب الأبعاد أو الكمية، وليس مجرد رقم ثابت.

لماذا يوجد هذا الإضافة

كان أحد الإضافات المنافسة "Custom Product Addons Pro" يطبّق التسعير القائم على الصيغ بتمرير نص صيغة التاجر مباشرةً إلى PHP's eval() وقت الحساب (CVE-2026-4001) -- وهي ثغرة تنفيذ كود عن بُعد دون مصادقة. يسد هذا الإضافة فئة الثغرات بأكملها من خلال البناء:

• يتم تحويل الصيغة إلى رموز حرفًا بحرف ضمن مجموعة صارمة من العناصر المسموح بها: الأرقام، وأسماء الحقول التي قمت بتكوينها، وعوامل التشغيل الحسابية الأربعة بالإضافة إلى الأقواس. أي شيء آخر في نص الصيغة -- أي تسلسل أحرف آخر، أو أي نمط يشبه استدعاء دالة، أو أي حرف خاص -- يتسبب في رفض الصيغة نهائيًا عند حفظها.
• يتم تقييم تدفق الرموز بواسطة محلل حسابي صغير مكتوب يدويًا. لا يوجد ، ولا ، ولا أي توزيع ديناميكي للدوال من أي نوع في أي مكان في هذا الإضافة -- العمليات الوحيدة التي يمكن تشغيلها على الإطلاق هي الجمع والطرح والضرب والقسمة لأرقام عادية.