CVE-2026-84279
WysokieCVSS 7.2Streszczenie
Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'output_format' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Atakujący niezalogowany może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wymaga to włączonej funkcji Pro Export/Genius, ponieważ podatna akcja AJAX fpd_pr_export jest rejestrowana tylko wtedy, gdy ta funkcja jest aktywna.
Ocena ryzyka
Niezalogowany atakujący może wykonać atak XSS, co może prowadzić do kradzieży danych sesyjnych lub przejęcia konta użytkownika, jeśli witryna ma włączoną funkcję Pro Export/Genius.
Rekomendacja
Zaktualizować wtyczkę Fancy Product Designer do wersji nowszej niż 6.5.2, a jeśli to niemożliwe, wyłączyć funkcję Pro Export/Genius lub całą wtyczkę.
Inne podatności w Fancy Product Designer
Zobacz wszystkie- CVE-2026-84280Wysokie
Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na przechowywany XSS poprzez parametr 'elements[].title' w zamówieniu shortcode z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty ładunek jest zapisywany do DOM poprzez innerHTML w obsłudze zdarzenia JavaScript beforeElementAdd podczas przetwarzania pola elements[].title z zapisanego JSON zamówienia, co oznacza, że wykonanie następuje konkretnie, gdy administrator przegląda zamówienia shortcode w panelu administracyjnym WordPressa.
- CVE-2026-84281Wysokie
Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole 'productTitle' w metadanych pozycji zamówienia '_fpd_data'. Akcja AJAX fpd_save_order jest dostępna dla niezalogowanych użytkowników bez weryfikacji nonce i uprawnień, a zastosowana sanityzacja strip_tags() jest omijana przez sekwencje ucieczki Unicode w JSON, które json_decode() zamienia z powrotem na nawiasy kątowe podczas wyświetlania zamówienia w panelu administratora.
Oryginalny opis (angielski, źródło NVD)
The Fancy Product Designer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'output_format' parameter in all versions up to, and including, 6.5.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires the Pro Export/Genius feature to be enabled on the site, as the vulnerable fpd_pr_export AJAX action is only registered when that feature is active.