CVE-2026-57360
WysokieCVSS 7.1Streszczenie
Wtyczka eCommerce Product Catalog w wersji 3.5.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
Ocena ryzyka
Ryzyko obejmuje kradzież sesji użytkowników, przekierowania do złośliwych stron oraz defacement sklepu internetowego. Atak może dotknąć wszystkich odwiedzających witrynę.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę eCommerce Product Catalog do wersji nowszej niż 3.5.4. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę.
Inne podatności w eCommerce Product Catalog
Zobacz wszystkie- CVE-2026-52693Krytyczne
Wersje katalogu produktów eCommerce do 3.5.5 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-76128Średnie
Wtyczka eCommerce Product Catalog dla WordPressa jest podatna na przechowywany atak XSS przez atrybut 'style' w shortcode'ie we wszystkich wersjach do 3.5.10 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy dostępie użytkownika. Ładunek omija sanityzację wp_kses_post WordPressa, ponieważ złośliwa treść jest przechowywana w nawiasach shortcode'a bez tagów HTML.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in eCommerce Product Catalog <= 3.5.4 versions.