CVE-2026-116390

WysokieCVSS 7.2

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Filter Everything — WordPress & WooCommerce Filters w wersjach do 1.9.7 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektu (Object Injection).

Ocena ryzyka

Możliwe jest wstrzyknięcie obiektów przez niezaufane dane, co może prowadzić do wykonania niepożądanych działań w kontekście aplikacji WordPress.

Rekomendacja

Zaktualizuj wtyczkę Filter Everything do wersji nowszej niż 1.9.7, zawierającej poprawkę deserializacji.

Inne podatności w Filter Everything

CVE-2026-87869Średnie
Wtyczka Filter Everything — WordPress & WooCommerce Filters dla WordPressa jest podatna na odbity atak XSS w wersjach do 1.9.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia w funkcji flrt_elementor_load_more_anchor(). Funkcja odczytuje parametry zapytania z $_SERVER['REQUEST_URI'] przez getFormActionOrFullPageUrl(true), które dekoduje je przez parse_str() i ponownie składa za pomocą build_query() — funkcji rdzenia WordPressa, która NIE koduje ponownie wartości ($urlencode=false). Wynikowy URL, zawierający nieucieczone znaki specjalne, jest wstrzykiwany do atrybutu HTML data-next-page przez preg_replace() bez esc_attr() lub esc_url(). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia specjalnie spreparowanego linku.

Oryginalny opis (angielski, źródło NVD)

Deserialization of Untrusted Data vulnerability in stepasyuk Filter Everything — WordPress & WooCommerce Filters filter-everything allows Object Injection.This issue affects Filter Everything — WordPress & WooCommerce Filters: from n/a through 1.9.7.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS