CVE-2026-87091

Podatność Reflected Cross-Site Scripting (XSS) w wtyczce Welcart e-Commerce usc-e-shop dla WordPressa, występująca w wersjach do 2.12.3 włącznie, pozwala atakującemu na wstrzyknięcie złośliwego skryptu do strony.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 2.12.1 włącznie poprzez deserializację niezaufanych danych wejściowych w wywołaniu zwrotnym płatności Telecom EDY (usces_action_acting_transaction). Nieuwierzytelnieni atakujący mogą przechowywać dowolne pary klucz/wartość 'reserve' jako metadane zamówienia podczas publicznej realizacji transakcji, a następnie wywołać wywołanie zwrotne z wybranym przez atakującego parametrem 'option', aby wybrać i zdeserializować te metadane bez żadnej weryfikacji podpisu dostawcy, adresu źródłowego, tożsamości transakcji ani własności. Łańcuch POP jest obecny w bibliotece TCPDF dołączonej do samej wtyczki, więc nie jest wymagana żadna dodatkowa wtyczka ani motyw. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych plików na serwerze, w tym wp-config.php, co może prowadzić do zdalnego wykonania kodu, gdy atakujący ponownie uruchomi instalator WordPressa przeciwko bazie danych, którą kontroluje. Skuteczne wykorzystanie jest uzależnione od wydrukowania faktury przez administratora w celu wyzwolenia usunięcia pliku.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'custom_order' we wszystkich wersjach do 2.12.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty payload jest dostarczany przez formularz zamówienia gościa, nie wymaga uwierzytelnienia, a wykonuje się, gdy administrator przegląda dotknięte zamówienie w panelu administracyjnym WordPressa.

Wtyczka Welcart e-Commerce dla WordPressa przed wersją 2.12.1 nie regeneruje identyfikatora sesji podczas uwierzytelniania i ustawia identyfikator sesji z parametru żądania dostarczonego przez użytkownika, co pozwala nieuwierzytelnionemu atakującemu na fiksację sesji członka sklepu i przejęcie jego konta klienta po zalogowaniu ofiary przez spreparowane żądanie.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Welcart e-Commerce w wersjach do 2.11.31. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Wtyczka Welcart e-Commerce dla WordPressa przed wersją 2.11.33 nie weryfikuje autentyczności swojego callbacku rozliczeń dla sklepów convenience / przelewów bankowych: nieuwierzytelnione żądanie może zmienić zamówienie z nieopłaconego na rozliczone wyłącznie na podstawie numeru zamówienia i flagi statusu, bez sprawdzania podpisu, kwoty ani pochodzenia. Ponieważ są to metody płatności późniejszej, atakujący może oznaczyć swoje nieopłacone zamówienie jako rozliczone i otrzymać realizację bez płacenia.

Wtyczka Welcart e-Commerce przed wersją 2.11.34 nie sanityzuje ani nie escapuje pola produktu przed wyświetleniem go na stronach produktów, co pozwala użytkownikom z rolą Autora i wyższym na wstrzykiwanie dowolnych skryptów, które wykonują się w przeglądarce każdego odwiedzającego stronę produktu.

W Welcart e-Commerce w wersjach do 2.11.28 występuje problem z nieautoryzowanym dostępem, który może prowadzić do naruszenia kontroli dostępu.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w akcji 'usces_export' we wszystkich wersjach do 2.11.24 włącznie. Umożliwia to nieuwierzytelnionym atakującym dostęp do skonfigurowanych danych uwierzytelniających płatności (np. PayPal API secret), a także danych kontaktowych firmy, szablonów wiadomości i innych ustawień operacyjnych sklepu.

Wtyczka Welcart e-Commerce (usc-e-shop) ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 2.11.24 włącznie.