CVE-2026-92969

WysokieCVSS 8.1

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 22/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.65%

Percentyl 50 - wyżej niż 50% wszystkich znanych CVE

Streszczenie

Wtyczka HUSKY – Products Filter for WooCommerce Professional dla WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do 1.4.4 włącznie poprzez parametr 'shortcode'. Nieuwierzytelnieni atakujący mogą dołączyć i wykonać dowolne pliki .php na serwerze, co pozwala na wykonanie dowolnego kodu PHP.

Ocena ryzyka

Możliwe jest obejście kontroli dostępu, uzyskanie wrażliwych danych lub wykonanie kodu, jeśli pliki .php mogą być przesyłane i dołączane.

Rekomendacja

Zaktualizuj wtyczkę HUSKY – Products Filter for WooCommerce Professional do wersji nowszej niż 1.4.4.

Inne podatności w HUSKY – Products Filter for WooCommerce Professional

CVE-2026-107646Średnie
Wtyczka HUSKY – Products Filter for WooCommerce Professional dla WordPressa w wersjach do 1.4.5 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'woof_settings[woof_stat][server_options]'. Nieuwierzytelniony atakujący może odczytać z publicznej strony filtra dane połączenia z zewnętrznym serwerem MySQL, w tym nazwę hosta, nazwę bazy, nazwę użytkownika oraz hasło zapisane w postaci jawnej.

Oryginalny opis (angielski, źródło NVD)

The HUSKY – Products Filter for WooCommerce Professional plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 1.4.4 via the 'shortcode' parameter parameter. This makes it possible for unauthenticated attackers to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. This vulnerability is exploitable by unauthenticated users because the only access control is a nonce check against woof_front_nonce, which is publicly emitted into inline JavaScript on every front-end page and is therefore obtainable by any site visitor without authentication.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS