CVE-2026-15646
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka Brands for WooCommerce dla WordPress do wersji 3.8.8 zawiera podatność na Stored XSS w atrybucie 'style' shortcode'a. Brak odpowiedniej sanitizacji wejścia i kodowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie contributor lub wyższym wstrzyknięcie skryptów.
Ocena ryzyka
Atakujący może wstrzyknąć trwały skrypt, który wykona się przy każdej wizycie na zainfekowanej stronie, co może prowadzić do kradzieży danych lub przejęcia konta administratora.
Rekomendacja
Należy zaktualizować wtyczkę Brands for WooCommerce do najnowszej wersji zawierającej poprawkę.
Inne podatności w Brands for WooCommerce
Zobacz wszystkie- CVE-2026-15648Średnie
Wtyczka Brands for WooCommerce dla WordPressa jest podatna na Stored XSS przez atrybut 'width' shortcode'u z powodu niedostatecznego oczyszczania danych. Atakujący z dostępem na poziomie contributora mogą wstrzykiwać dowolne skrypty.
- CVE-2026-15647Średnie
Wtyczka Brands for WooCommerce dla WordPressa do wersji 3.8.8 jest podatna na Stored Cross-Site Scripting przez pole Term Meta 'br_brand_tooltip'. Brak odpowiedniej sanityzacji i eskejpowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie custom i wyższym wstrzyknięcie dowolnych skryptów, które wykonują się przy każdej wizycie na zainfekowanej stronie. Nawet użytkownicy z rolą Shop Manager (bez unfiltered_html) mogą to wykorzystać.
Oryginalny opis (angielski, źródło NVD)
The Brands for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'style' Shortcode Attribute in all versions up to, and including, 3.8.8 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.