CVE-2026-76128
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka eCommerce Product Catalog dla WordPressa jest podatna na przechowywany atak XSS przez atrybut 'style' w shortcode'ie we wszystkich wersjach do 3.5.10 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy dostępie użytkownika. Ładunek omija sanityzację wp_kses_post WordPressa, ponieważ złośliwa treść jest przechowywana w nawiasach shortcode'a bez tagów HTML.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę eCommerce Product Catalog do najnowszej wersji, która zawiera poprawkę dla tej podatności.
Inne podatności w eCommerce Product Catalog
Zobacz wszystkie- CVE-2026-57360Wysokie
Wtyczka eCommerce Product Catalog w wersji 3.5.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
- CVE-2026-52693Krytyczne
Wersje katalogu produktów eCommerce do 3.5.5 zawierają podatność na nieautoryzowaną injekcję SQL.
Oryginalny opis (angielski, źródło NVD)
The eCommerce Product Catalog plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'style' Shortcode Attribute in all versions up to, and including, 3.5.10 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The payload bypasses WordPress's save-time wp_kses_post sanitization because the malicious content is stored inside shortcode brackets with no HTML tags; the tainted HTML output is only generated at render time by the shortcode handler.