CVE-2026-105056
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Podatność typu Stored XSS w wtyczce eCommerce Product Catalog do wersji 3.6.2. Umożliwia wstrzyknięcie trwałego skryptu, który może być wykonany w kontekście przeglądarki użytkownika.
Ocena ryzyka
Możliwość kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego kodu.
Rekomendacja
Zaktualizuj wtyczkę eCommerce Product Catalog do wersji z poprawką.
Inne podatności w eCommerce Product Catalog
Zobacz wszystkie- CVE-2026-96344Wysokie
Podatność PHP Object Injection w wtyczce eCommerce Product Catalog w wersjach do 3.6.0, która może być wykorzystana przez niestandardową rolę użytkownika.
- CVE-2026-57360Wysokie
Wtyczka eCommerce Product Catalog w wersji 3.5.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
- CVE-2026-52693Krytyczne
Wersje katalogu produktów eCommerce do 3.5.5 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-76128Średnie
Wtyczka eCommerce Product Catalog dla WordPressa jest podatna na przechowywany atak XSS przez atrybut 'style' w shortcode'ie we wszystkich wersjach do 3.5.10 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy dostępie użytkownika. Ładunek omija sanityzację wp_kses_post WordPressa, ponieważ złośliwa treść jest przechowywana w nawiasach shortcode'a bez tagów HTML.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in impleCode eCommerce Product Catalog ecommerce-product-catalog allows Stored XSS.This issue affects eCommerce Product Catalog: from n/a through 3.6.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS