CVE-2025-49042
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WooCommerce od Automattic do wersji 10.0.2 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Ocena ryzyka
Ryzyko obejmuje możliwość kradzieży danych, przejęcia sesji użytkownika lub rozprzestrzeniania złośliwego oprogramowania w kontekście sklepu WooCommerce.
Rekomendacja
Zaleca się aktualizację WooCommerce do wersji nowszej niż 10.0.2 oraz sanitację wszystkich danych wejściowych.
Inne podatności w WooCommerce
Zobacz wszystkie- CVE-2022-50972Krytyczne
WooCommerce w wersji 7.1.0 zawiera podatność na zdalne wykonanie kodu, która umożliwia atakującym wykonywanie dowolnego kodu PHP poprzez wstrzykiwanie poleceń powłoki za pomocą parametru typu produktu.
- CVE-2026-54807Krytyczne
W formularzu rejestracyjnym WooCommerce w wersjach do 1.0.9 występuje podatność na nieautoryzowane podniesienie uprawnień.
- CVE-2026-42386Krytyczne
Wersje WooCommerce do 4.5.1 zawierają podatność na nieautoryzowaną injekcję SQL w polu daty dostawy zamówienia.
- CVE-2026-106608Wysokie
Podatność polegająca na nieprawidłowym przypisaniu uprawnień w WooCommerce. Umożliwia eskalację uprawnień. Dotyczy wersji od 9.8.0 do 11.1.2.
- CVE-2026-48888Wysokie
Podatność na wyczerpanie zasobów bez limitów lub ograniczania przepustowości w WooCommerce od Automattic umożliwia atak HTTP DoS. Problem dotyczy WooCommerce w wersjach przed 11.1.0.
- CVE-2026-57777Wysokie
Wtyczka WooCommerce od Automattic zawiera podatność na ślepą iniekcję SQL (Blind SQL Injection) z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji przed 11.0.
- CVE-2026-49110Wysokie
W wersjach WooCommerce do 3.1.4 występuje podatność na nieautoryzowaną złamaną autoryzację w funkcji Upsell Order Bump Offer.
- CVE-2024-1310Średnie
Wtyczka WooCommerce dla WordPressa przed wersją 8.6 nie zapobiega wyciekowi informacji o produktach, do których użytkownicy z rolą przynajmniej współautora nie powinni mieć dostępu, np. produktach prywatnych, szkicach i usuniętych.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Automattic WooCommerce woocommerce allows Stored XSS.This issue affects WooCommerce: from n/a through <= 10.0.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS