CVE-2026-16066
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Welcart e-Commerce przed wersją 2.11.34 nie sanityzuje ani nie escapuje pola produktu przed wyświetleniem go na stronach produktów, co pozwala użytkownikom z rolą Autora i wyższym na wstrzykiwanie dowolnych skryptów, które wykonują się w przeglądarce każdego odwiedzającego stronę produktu.
Ocena ryzyka
Wstrzyknięte skrypty mogą prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę Welcart e-Commerce do wersji 2.11.34 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
The Welcart e-Commerce WordPress plugin before 2.11.34 does not sanitise or escape a product field before outputting it on the product pages, allowing users with the Author role and above to inject arbitrary web scripts that execute in the browser of any visitor viewing the product page.