CVE-2026-18562

ŚrednieCVSS 6.1

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 11/09/2026(UTC)Przetłumaczono: 11/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka HUSKY – Products Filter Professional for WooCommerce dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez segmenty URL filtra z przyjaznymi dla SEO permalinkami w wersjach do 1.4.3 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w funkcji wp_load_js(), która odczytuje wartości filtra ze ścieżki URL poprzez parse_url_query() rozszerzenia url_request i osadza je w łańcuchu JavaScript przy użyciu json_encode() bez escapowania pojedynczych cudzysłowów.

Ocena ryzyka

Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia w specjalnie spreparowany link, co może prowadzić do kradzieży danych lub przejęcia sesji.

Rekomendacja

Zaktualizuj wtyczkę HUSKY – Products Filter Professional for WooCommerce do wersji nowszej niż 1.4.3, gdy tylko poprawka będzie dostępna.

Inne podatności w HUSKY – Products Filter Professional for WooCommerce

CVE-2025-13109Średnie
Wtyczka HUSKY – Products Filter Professional for WooCommerce dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 1.3.7.2 włącznie, poprzez funkcje "woof_add_query" i "woof_remove_query", z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym wstawianie lub usuwanie dowolnych zapisanych zapytań wyszukiwania w profilu dowolnego użytkownika, w tym administratorów.

Oryginalny opis (angielski, źródło NVD)

The HUSKY – Products Filter Professional for WooCommerce plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via SEO-friendly permalink filter URL segments in versions up to, and including, 1.4.3. This is due to insufficient input sanitization and output escaping in the wp_load_js() function, which reads filter values from the URL path via the url_request extension's parse_url_query() and embeds them into an inline JavaScript string using json_encode() without escaping single quotes. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a specially crafted link.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS