CVE-2026-12402

ŚrednieCVSS 4.4

Opublikowano: 19/09/2026(UTC)Zaktualizowano: 21/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Wtyczka OTP Login & Register Woocommerce dla WordPressa w wersjach do 2.7.3 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez ustawienie 'fb-config' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. W instalacjach multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html, podatność może być wykorzystana do ataku na superadministratora sieci.

Ocena ryzyka

Uwierzytelniony atakujący z rolą administratora lub wyższą może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę, co może prowadzić do przejęcia konta superadministratora w multisite.

Rekomendacja

Zaktualizować wtyczkę OTP Login & Register Woocommerce do wersji nowszej niż 2.7.3, gdy tylko będzie dostępna, oraz rozważyć ograniczenie liczby administratorów w instalacji multisite.

Inne podatności w OTP Login & Register Woocommerce WordPress plugin

CVE-2026-110135Wysokie
Wtyczka WordPress OTP Login & Register Woocommerce w wersji przed 2.7.3 nie ogranicza odpowiednio liczby prób weryfikacji jednorazowego hasła, ponieważ limit prób jest śledzony na podstawie wartości dostarczanej przez klienta, którą można dowolnie zmieniać. Umożliwia to nieuwierzytelnionemu atakującemu obejście limitu i brute-force krótkiego numerycznego kodu logowania w celu przejęcia konta bez znajomości hasła.

Oryginalny opis (angielski, źródło NVD)

The OTP Login & Register Woocommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'fb-config' Setting in all versions up to, and including, 2.7.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. On multisite installations where administrators do not hold the unfiltered_html capability, this vulnerability can be leveraged to target the network super administrator.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS