CVE-2026-84281
WysokieCVSS 7.2Streszczenie
Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole 'productTitle' w metadanych pozycji zamówienia '_fpd_data'. Akcja AJAX fpd_save_order jest dostępna dla niezalogowanych użytkowników bez weryfikacji nonce i uprawnień, a zastosowana sanityzacja strip_tags() jest omijana przez sekwencje ucieczki Unicode w JSON, które json_decode() zamienia z powrotem na nawiasy kątowe podczas wyświetlania zamówienia w panelu administratora.
Ocena ryzyka
Niezalogowany atakujący może wstrzyknąć dowolny skrypt do stron, który wykona się w przeglądarce użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży sesji lub przejęcia konta administratora.
Rekomendacja
Zaktualizować wtyczkę Fancy Product Designer do wersji nowszej niż 6.5.2, a jeśli to niemożliwe, wyłączyć wtyczkę lub ograniczyć dostęp do akcji fpd_save_order.
Inne podatności w Fancy Product Designer
Zobacz wszystkie- CVE-2026-84280Wysokie
Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na przechowywany XSS poprzez parametr 'elements[].title' w zamówieniu shortcode z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty ładunek jest zapisywany do DOM poprzez innerHTML w obsłudze zdarzenia JavaScript beforeElementAdd podczas przetwarzania pola elements[].title z zapisanego JSON zamówienia, co oznacza, że wykonanie następuje konkretnie, gdy administrator przegląda zamówienia shortcode w panelu administracyjnym WordPressa.
- CVE-2026-84279Wysokie
Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'output_format' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Atakujący niezalogowany może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wymaga to włączonej funkcji Pro Export/Genius, ponieważ podatna akcja AJAX fpd_pr_export jest rejestrowana tylko wtedy, gdy ta funkcja jest aktywna.
Oryginalny opis (angielski, źródło NVD)
The Fancy Product Designer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'productTitle' in '_fpd_data' Order Item Meta in all versions up to, and including, 6.5.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The fpd_save_order AJAX action is registered for unauthenticated users via wp_ajax_nopriv_fpd_save_order with no nonce or capability check, and the strip_tags() sanitization applied at save time is bypassed by submitting JSON unicode escape sequences (e.g. \u003c, \u003e), which json_decode() silently converts back to literal angle brackets when the order is rendered in the admin view.