CVE-2026-12126
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka WCFM Marketplace dla WordPressa zawiera podatność na trwałe ataki XSS w wersjach do 3.7.3 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia w polu 'post_title' załączników. Uwierzytelniony atakujący z dostępem na poziomie Sprzedawcy lub wyższym może wstrzyknąć dowolny kod JavaScript, który wykona się przy każdym dostępie do zainfekowanej strony.
Ocena ryzyka
Atakujący może przejąć sesje administratorów, wykraść dane wrażliwe lub rozprzestrzenić złośliwe oprogramowanie w środowisku WordPress. Podatność umożliwia również eskalację uprawnień poprzez wykonanie kodu w kontekście przeglądarki ofiary.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę WCFM Marketplace do najnowszej dostępnej wersji, która zawiera poprawkę. Dodatkowo warto ograniczyć dostęp do interfejsu REST API WordPressa dla nieuprawnionych użytkowników.
Inne podatności w WCFM Marketplace
Zobacz wszystkie- CVE-2026-83562Średnie
Podatność XSS (Cross Site Scripting) z poziomu użytkownika o roli Contributor w wtyczce WCFM Marketplace w wersjach do 3.8.2. Użytkownik z rolą Contributor może wstrzyknąć złośliwy skrypt.
- CVE-2026-81286Krytyczne
Podatność pozwala na nieuwierzytelnione wstrzyknięcie SQL w wersjach WCFM Marketplace do 3.8.1 włącznie.
Oryginalny opis (angielski, źródło NVD)
The WCFM Marketplace – Multivendor Marketplace for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Attachment 'post_title' in all versions up to, and including, 3.7.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Vendor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. An attacker can plant the payload by uploading a media attachment with a crafted title via the WordPress REST API (/wp-json/wp/v2/media), without ever invoking the AJAX endpoint themselves, as the unescaped title is later emitted inside DataTables JSON and inserted as innerHTML upon any privileged user loading the media dashboard.