CVE-2026-15648
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Brands for WooCommerce dla WordPressa jest podatna na Stored XSS przez atrybut 'width' shortcode'u z powodu niedostatecznego oczyszczania danych. Atakujący z dostępem na poziomie contributora mogą wstrzykiwać dowolne skrypty.
Ocena ryzyka
Złośliwy skrypt może wykonać się w przeglądarce administratora lub innych użytkowników, prowadząc do kradzieży sesji, defacementu lub innych ataków.
Rekomendacja
Zaktualizuj wtyczkę Brands for WooCommerce do wersji powyżej 3.8.8, gdy tylko będzie dostępna łatka.
Inne podatności w Brands for WooCommerce
Zobacz wszystkie- CVE-2026-15647Średnie
Wtyczka Brands for WooCommerce dla WordPressa do wersji 3.8.8 jest podatna na Stored Cross-Site Scripting przez pole Term Meta 'br_brand_tooltip'. Brak odpowiedniej sanityzacji i eskejpowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie custom i wyższym wstrzyknięcie dowolnych skryptów, które wykonują się przy każdej wizycie na zainfekowanej stronie. Nawet użytkownicy z rolą Shop Manager (bez unfiltered_html) mogą to wykorzystać.
- CVE-2026-15646Średnie
Wtyczka Brands for WooCommerce dla WordPress do wersji 3.8.8 zawiera podatność na Stored XSS w atrybucie 'style' shortcode'a. Brak odpowiedniej sanitizacji wejścia i kodowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie contributor lub wyższym wstrzyknięcie skryptów.
Oryginalny opis (angielski, źródło NVD)
The Brands for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'width' Shortcode Attribute in all versions up to, and including, 3.8.8 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.