CVE-2026-52693
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wersje katalogu produktów eCommerce do 3.5.5 zawierają podatność na nieautoryzowaną injekcję SQL.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania dostępu do wrażliwych danych w bazie danych, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji katalogu produktów eCommerce, aby usunąć tę podatność.
Inne podatności w eCommerce Product Catalog
Zobacz wszystkie- CVE-2026-96344Wysokie
Podatność PHP Object Injection w wtyczce eCommerce Product Catalog w wersjach do 3.6.0, która może być wykorzystana przez niestandardową rolę użytkownika.
- CVE-2026-57360Wysokie
Wtyczka eCommerce Product Catalog w wersji 3.5.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
- CVE-2026-105056Średnie
Podatność typu Stored XSS w wtyczce eCommerce Product Catalog do wersji 3.6.2. Umożliwia wstrzyknięcie trwałego skryptu, który może być wykonany w kontekście przeglądarki użytkownika.
- CVE-2026-76128Średnie
Wtyczka eCommerce Product Catalog dla WordPressa jest podatna na przechowywany atak XSS przez atrybut 'style' w shortcode'ie we wszystkich wersjach do 3.5.10 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy dostępie użytkownika. Ładunek omija sanityzację wp_kses_post WordPressa, ponieważ złośliwa treść jest przechowywana w nawiasach shortcode'a bez tagów HTML.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated SQL Injection in eCommerce Product Catalog <= 3.5.5 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS