CVE-2026-7804

Wtyczka Product Filter for WooCommerce by WBW jest podatna na odbity XSS poprzez parametr JSON 'wpf_fid' w wersjach do 3.4.6 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku. Podatność utrzymuje się w wersjach z poprawką 3.4.3, ponieważ absint() zastosowano tylko na ścieżce odczytu getVar(), pozostawiając wartość wpf_fid odczytywaną z zdekodowanego JSON payload filterSettings całkowicie niesanityzowaną.

Wtyczka Product Filter for WooCommerce by WBW jest podatna na brak autoryzacji / ujawnienie informacji w wersjach do 3.4.6 włącznie poprzez parametr 'filterSettings[default_query]' akcji AJAX 'filtersFrontend'. Handler jest zarejestrowany jako 'wp_ajax_nopriv_filtersFrontend' i nie wykonuje żadnego sprawdzenia uprawnień ani nonce; surowe dane POST są dekodowane JSON do $filterSettings, a kontrolowana przez atakującego tablica 'default_query' jest bezwarunkowo łączona array_merge() z argumentami WP_Query, nadpisując bezpieczne domyślne ustawienia wtyczki (zwłaszcza post_status, post_type, posts_per_page i nopaging). Umożliwia to nieuwierzytelnionym atakującym wyliczenie niepublicznych produktów WooCommerce (szkiców, przyszłych, oczekujących) — w tym ich liczby i renderowanego znacznika listy — oraz wymuszenie nieograniczonych zapytań ładujących wszystkie produkty w jednym żądaniu.