CVE-2025-13109

ŚrednieCVSS 4.3

Opublikowano: 03/12/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 18/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka HUSKY – Products Filter Professional for WooCommerce dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 1.3.7.2 włącznie, poprzez funkcje "woof_add_query" i "woof_remove_query", z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym wstawianie lub usuwanie dowolnych zapisanych zapytań wyszukiwania w profilu dowolnego użytkownika, w tym administratorów.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może modyfikować zapisane zapytania wyszukiwania innych użytkowników, w tym administratorów, co może prowadzić do nieoczekiwanych zachowań lub dalszych ataków. Narusza to integralność danych w profilach użytkowników.

Rekomendacja

Zaktualizuj wtyczkę HUSKY do wersji nowszej niż 1.3.7.2. Do czasu aktualizacji rozważ ograniczenie dostępu do funkcji zapisanych zapytań lub wyłączenie wtyczki.

Inne podatności w HUSKY – Products Filter Professional for WooCommerce

CVE-2026-18562Średnie
Wtyczka HUSKY – Products Filter Professional for WooCommerce dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez segmenty URL filtra z przyjaznymi dla SEO permalinkami w wersjach do 1.4.3 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w funkcji wp_load_js(), która odczytuje wartości filtra ze ścieżki URL poprzez parse_url_query() rozszerzenia url_request i osadza je w łańcuchu JavaScript przy użyciu json_encode() bez escapowania pojedynczych cudzysłowów.

Oryginalny opis (angielski, źródło NVD)

The HUSKY – Products Filter Professional for WooCommerce plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.3.7.2 via the "woof_add_query" and "woof_remove_query" functions due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with subscriber level access and above, to insert or remove arbitrary saved search queries into any user's profile, including administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS