CVE-2026-107653
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka SureCart dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 4.9.4 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykonanie wymaga, aby wstrzyknięty komentarz był widoczny na stronie ładującej pakiet web-component SureCart (np. strona z blokiem Buy Button) oraz aby komentarz był automatycznie zatwierdzony lub zatwierdzony przez moderatora.
Ocena ryzyka
Możliwe wykonanie złośliwego kodu JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych. Ryzyko dotyczy witryn z wtyczką SureCart i widocznymi komentarzami.
Rekomendacja
Zaktualizuj wtyczkę SureCart do wersji nowszej niż 4.9.4. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie automatycznego zatwierdzania komentarzy.
Inne podatności w SureCart
Zobacz wszystkie- CVE-2026-120574Wysokie
Wtyczka SureCart dla WordPressa jest podatna na nieuwierzytelnione przejęcie konta we wszystkich wersjach do 4.9.5 włącznie. Trasa REST logowania jednorazowym kodem (VerificationCodeController::verify()) pozwala atakującemu na brute-force 6-cyfrowego kodu i uzyskanie sesji jako dowolny użytkownik, w tym administrator.
- CVE-2026-112840Średnie
Wtyczka WordPress SureCart w wersjach do 4.9.5 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Może to pozwolić na wstrzyknięcie złośliwego skryptu, który zostanie zapisany i wykonany u innych użytkowników.
- CVE-2026-97245Wysokie
Wtyczka SureCart w wersjach do 4.7.2 włącznie zawiera podatność typu Privilege Escalation, którą może wykorzystać użytkownik z uprawnieniami Shop Worker.
- CVE-2026-112241Krytyczne
Podatność typu obejście uwierzytelniania przez podszywanie się (Authentication Bypass by Spoofing) w wtyczce SureCart firmy Brainstorm Force, w wersjach do 4.9.5 włącznie. Umożliwia nadużycie uwierzytelniania.
- CVE-2026-9065Krytyczne
Wtyczka SureCart w wersji przed 4.2.1 jest podatna na atak SQL Injection z autoryzacją. Podatność występuje w endpoint REST API '/surecart/v1/integrations/{id}' poprzez parametry 'model_name', 'model_id', 'integration_id', 'provider'. Błąd wynika z ominięcia mechanizmu eskejpowania w konstruktorze zapytań 'wp-query-builder' - wartości zawierające kropkę ('.') lub prefiks tabel WordPress ('wp_') nie są odpowiednio sanityzowane.
- CVE-2026-106599Wysokie
Wtyczka SureCart od Brainstorm Force do wersji 4.9.3 zawiera podatność na deserializację niezaufanych danych, która umożliwia wstrzyknięcie obiektów (Object Injection).
- CVE-2026-105874Wysokie
Wtyczka SureCart od Brainstorm Force do wersji 4.9.3 zawiera podatność na Reflected Cross-site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej.
- CVE-2026-109697Średnie
W wtyczce SureCart od Brainstorm Force występuje podatność Cross-site Scripting (Stored XSS) wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji od n/a do 4.9.4.
- CVE-2026-75793Średnie
Wtyczka SureCart dla WordPressa przed wersją 4.7.0 nie konsultuje ustawienia rejestracji użytkowników w witrynie przed tworzeniem kont WordPress, co pozwala nieuwierzytelnionym użytkownikom na utworzenie konta i otrzymanie zalogowanej sesji nawet wtedy, gdy rejestracja jest wyłączona.
- CVE-2026-32548Średnie
Podatność Broken Access Control w wtyczce SureCart w wersjach do 4.6.2 pozwala nieuwierzytelnionemu atakującemu na ominięcie kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'comment' parameter in all versions up to, and including, 4.9.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Successful execution requires the injected comment to be visible on a page that loads SureCart's web-component bundle (e.g. a page containing a SureCart Buy Button block), and the comment must be auto-approved or approved by a moderator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS