CVE-2026-17161
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka WowStore dla WordPress do wersji 4.4.24 jest podatna na Stored Cross-Site Scripting przez atrybut bloku 'filterMobileText'. Sanityzacja `wp_kses_post` jest nieskuteczna, ponieważ ładunek jest przechowywany w komentarzu bloku Gutenberg jako JSON, który jest zachowywany. Uwierzytelnieni atakujący z dostępem contributora mogą wstrzyknąć dowolne skrypty.
Ocena ryzyka
Atakujący może wykraść ciasteczka sesji, przekierować użytkowników na złośliwe strony lub wykonać inne działania w kontekście ofiary, co narusza bezpieczeństwo i prywatność użytkowników.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji. Ogranicz dostęp do edycji bloków tylko dla zaufanych użytkowników.
Inne podatności w WowStore
Oryginalny opis (angielski, źródło NVD)
The WowStore – Store Builder & Product Blocks for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'filterMobileText' Block Attribute in all versions up to, and including, 4.4.24 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The save-time wp_kses_post sanitization is ineffective because the payload is stored inside a Gutenberg block delimiter comment as JSON, which wp_kses_post preserves, allowing an attribute-breakout string to survive to the server-side render_callback.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS