CVE-2025-13439

Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na przechowywany XSS poprzez parametr 'elements[].title' w zamówieniu shortcode z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty ładunek jest zapisywany do DOM poprzez innerHTML w obsłudze zdarzenia JavaScript beforeElementAdd podczas przetwarzania pola elements[].title z zapisanego JSON zamówienia, co oznacza, że wykonanie następuje konkretnie, gdy administrator przegląda zamówienia shortcode w panelu administracyjnym WordPressa.

Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole 'productTitle' w metadanych pozycji zamówienia '_fpd_data'. Akcja AJAX fpd_save_order jest dostępna dla niezalogowanych użytkowników bez weryfikacji nonce i uprawnień, a zastosowana sanityzacja strip_tags() jest omijana przez sekwencje ucieczki Unicode w JSON, które json_decode() zamienia z powrotem na nawiasy kątowe podczas wyświetlania zamówienia w panelu administratora.

Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'output_format' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Atakujący niezalogowany może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wymaga to włączonej funkcji Pro Export/Genius, ponieważ podatna akcja AJAX fpd_pr_export jest rejestrowana tylko wtedy, gdy ta funkcja jest aktywna.

Wtyczka Fancy Product Designer dla WordPressa jest podatna na atak SSRF we wszystkich wersjach do 6.4.8 włącznie, z powodu wyścigu TOCTOU w parametrze 'url' akcji AJAX fpd_custom_uplod_file. Wtyczka najpierw waliduje URL za pomocą getimagesize(), a następnie pobiera ten sam URL za pomocą file_get_contents(). Umożliwia to nieuwierzytelnionym atakującym wykorzystanie luki czasowej do przeprowadzenia ataków SSRF, serwując prawidłowy obraz podczas walidacji, a następnie zmieniając odpowiedź na przekierowanie do dowolnych wewnętrznych lub zewnętrznych adresów URL podczas rzeczywistego pobierania.