CVE-2026-15324
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka SysBasics Customize My Account for WooCommerce – Live My Account Customizer dla WordPressa jest podatna na trwałe ataki XSS przez parametr 'row_type' w wersjach do 4.4.14 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
Ocena ryzyka
Autoryzowani atakujący z dostępem na poziomie menedżera sklepu lub wyższym mogą wstrzykiwać dowolne skrypty webowe, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie, co może prowadzić do kradzieży sesji, przekierowań lub innych szkodliwych działań.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę do najnowszej dostępnej wersji, która usuwa tę podatność, oraz ograniczyć uprawnienia użytkowników do niezbędnego minimum.
Inne podatności w SysBasics Customize My Account for WooCommerce
Oryginalny opis (angielski, źródło NVD)
The SysBasics Customize My Account for WooCommerce – Live My Account Customizer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'row_type' parameter in all versions up to, and including, 4.4.14 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with shop manager-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS