CVE-2026-109224

WysokieCVSS 7.2

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Wtyczka SureCart dla WordPressa w wersjach do 4.9.4 włącznie jest podatna na przechowywany XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Ocena ryzyka

Nieuwierzytelniony atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań lub innych działań w kontekście użytkownika. Wymaga to jednak, aby komentarz pojawił się na stronie ładującej runtime surecart-components i nie zawierającej elementu sc-checkout.

Rekomendacja

Zaktualizuj wtyczkę SureCart do wersji nowszej niż 4.9.4. Do czasu aktualizacji rozważ wyłączenie możliwości komentowania lub filtrowanie treści komentarzy.

Inne podatności w SureCart WordPress Plugin

CVE-2026-18480Wysokie
Wtyczka SureCart dla WordPressa przed wersją 4.6.3 nie zapewnia, że konto dotknięte aktualizacją klienta jest tym samym kontem, które zostało autoryzowane, co pozwala użytkownikom z poziomem subskrybenta na zmianę adresu e-mail innego użytkownika, w tym administratora, i przejęcie konta przez reset hasła. Ponadto umożliwia powiązanie kontrolowanego przez atakującego rekordu klienta z dowolnym użytkownikiem oraz ujawnia identyfikatory klientów i adresy e-mail każdemu uwierzytelnionemu użytkownikowi, co razem czyni przejęcie osiągalnym z poziomu konta subskrybenta.

Oryginalny opis (angielski, źródło NVD)

The SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'comment' parameter in all versions up to, and including, 4.9.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Successful execution requires the affected comment to appear on a post that loads the surecart-components runtime (e.g. via a [sc_buy_button] shortcode) and contains no sc-checkout element, as these conditions trigger the innerHTML sink in sc-cart-loader.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS