CVE-2026-88942
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Product Filter for WooCommerce by WBW jest podatna na odbity XSS poprzez parametr JSON 'wpf_fid' w wersjach do 3.4.6 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku. Podatność utrzymuje się w wersjach z poprawką 3.4.3, ponieważ absint() zastosowano tylko na ścieżce odczytu getVar(), pozostawiając wartość wpf_fid odczytywaną z zdekodowanego JSON payload filterSettings całkowicie niesanityzowaną.
Ocena ryzyka
Możliwe wykonanie złośliwego kodu JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych. Ryzyko dotyczy witryn z wtyczką Product Filter for WooCommerce by WBW.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 3.4.6. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie wtyczki do czasu wydania poprawki.
Inne podatności w Product Filter for WooCommerce by WBW
Zobacz wszystkie- CVE-2026-11396Średnie
Wtyczka Product Filter for WooCommerce by WBW jest podatna na brak autoryzacji / ujawnienie informacji w wersjach do 3.4.6 włącznie poprzez parametr 'filterSettings[default_query]' akcji AJAX 'filtersFrontend'. Handler jest zarejestrowany jako 'wp_ajax_nopriv_filtersFrontend' i nie wykonuje żadnego sprawdzenia uprawnień ani nonce; surowe dane POST są dekodowane JSON do $filterSettings, a kontrolowana przez atakującego tablica 'default_query' jest bezwarunkowo łączona array_merge() z argumentami WP_Query, nadpisując bezpieczne domyślne ustawienia wtyczki (zwłaszcza post_status, post_type, posts_per_page i nopaging). Umożliwia to nieuwierzytelnionym atakującym wyliczenie niepublicznych produktów WooCommerce (szkiców, przyszłych, oczekujących) — w tym ich liczby i renderowanego znacznika listy — oraz wymuszenie nieograniczonych zapytań ładujących wszystkie produkty w jednym żądaniu.
- CVE-2026-7804Średnie
Podatność na Reflected Cross-Site Scripting (XSS) w wtyczce Product Filter for WooCommerce by WBW dla WordPressa, we wszystkich wersjach do 3.4.2 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Niezalogowany atakujący może wstrzyknąć dowolny skrypt, jeśli użytkownik kliknie w spreparowany link.
Oryginalny opis (angielski, źródło NVD)
The Product Filter for WooCommerce by WBW plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via 'wpf_fid' JSON Parameter in all versions up to, and including, 3.4.6 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. The vulnerability persists in versions that received the 3.4.3 patch because absint() was applied only to the getVar() read path, leaving the wpf_fid value read from the JSON-decoded filterSettings payload entirely unsanitized.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS