CVE-2026-93388
KrytyczneCVSS 9.8Streszczenie
Wtyczka Printcart Store (PCDesigner / NB Designer) dla WooCommerce do wersji 2.9.1 włącznie jest podatna na nieuwierzytelnione dowolne przesyłanie plików prowadzące do zdalnego wykonania kodu. Akcja AJAX nbdesigner_copy_image_from_url jest zarejestrowana dla niezalogowanych wywołań, a jej gałąź Google Drive odtwarza nazwę pliku docelowego z surowego parametru gapi[name], omijając listę dozwolonych rozszerzeń, i zapisuje pobrane bajty do katalogu dostępnego z sieci. Umożliwia to nieuwierzytelnionym atakującym zapisanie pliku .php w lokalizacji wykonywalnej i wykonanie dowolnego kodu na serwerze.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolny kod na serwerze, co prowadzi do pełnej kompromitacji witryny i serwera.
Rekomendacja
Zaktualizuj wtyczkę Printcart Store do najnowszej wersji z poprawką. Ogranicz dostęp do akcji AJAX i monitoruj przesyłane pliki.
Powiązane podatności
- CVE-2026-87855Krytyczne
Wtyczka JTL-Connector dla WooCommerce do wersji 2.4.3 włącznie jest podatna na dowolne przesyłanie plików przez funkcję saveImage(). Wynika to z akceptowania pustego parametru jtlauth jako prawidłowego poświadczenia oraz niewystarczającej walidacji typów plików w handleImagePush(). Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-104800Krytyczne
Wtyczka AGE-GATE dla WordPressa do wersji 1.0 włącznie jest podatna na zdalne wykonanie kodu przez parametry 'width' i 'height'. Wynika to z braku uwierzytelniania, kontroli uprawnień i weryfikacji nonce na samodzielnym punkcie końcowym admin.php, a także z niesanityzowanego wstrzykiwania parametrów POST bezpośrednio do generowanego kodu PHP zapisywanego do dołączanego pliku. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze.
- CVE-2026-97668Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na wstrzyknięcie SQL przez trwałą wartość meta_value koszyka gościa. Wynika to z niewystarczającego escapowania danych użytkownika i braku przygotowania zapytania SQL w funkcji update_guest_persistent_cart(). Wartość abandoned_cart_info, pochodząca z pól kontrolowanych przez atakującego, jest konkatenowana bezpośrednio do instrukcji UPDATE. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowego SQL do zapytania, co może prowadzić do ekstrakcji danych i eskalacji uprawnień.
- CVE-2026-97657Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na ominięcie uwierzytelniania przez plastyczne szyfrowanie i możliwy do ominięcia HMAC. Wynika to z użycia szyfrowania AES-CTR bez MAC dla tokenów linków odzyskiwania koszyka, gdzie nonce jest przenoszony w ciphertext, a klucz jest wyszukiwany na podstawie parametru user_email, oraz z warunkowego sprawdzania HMAC, które można ominąć przez pominięcie parametru wcap_nonce. Umożliwia to nieuwierzytelnionym atakującym, posiadającym jeden prawidłowy link, sfałszowanie ciphertextu i przejęcie konta dowolnego użytkownika, który kiedykolwiek porzucił koszyk, w tym administratora.
- CVE-2026-110447Krytyczne
Collabora Online Built-in CODE Server przed wersją 26.4.303 (richdocumentscode), aplikacja Nextcloud, umożliwia zdalne wykonanie kodu, wykorzystywane w środowisku naturalnym we wrześniu i październiku 2026. Jest to wstrzyknięcie poleceń systemu operacyjnego w proxy.php, gdy serwer CODE nie działa. Podatność nie występuje w samodzielnych serwerach Collabora Online.
- CVE-2026-110002Krytyczne
Wtyczka Snazzy Social Media Feed dla WordPressa do wersji 2.5 włącznie jest podatna na dowolne przesyłanie plików przez funkcję (file scope). Wynika to z braku bootstrapu WordPressa, uwierzytelniania, uprawnień i kontroli nonce w samodzielnym skrypcie save-to-cache.php, a także z niewystarczającej sanityzacji parametru pluginURL przed zapisem do wykonywalnego pliku PHP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-92097Krytyczne
Wtyczka Click to Chat for WhatsApp dla WordPressa do wersji 4.44 włącznie jest podatna na dowolne wykonanie shortcode'ów. Wynika to z funkcji greetings_dialog(), która buduje placeholder {url} z filtrowanego $_SERVER['REQUEST_URI'] na stronach archiwum, a następnie przekazuje podstawioną treść do do_shortcode() w szablonach greetings-1 i greetings-2, bez usuwania ograniczników shortcode. Umożliwia to nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów zarejestrowanych przez WordPress, motyw lub inne wtyczki.
- CVE-2026-110392Krytyczne
Niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu systemu operacyjnego (wstrzyknięcie poleceń) w Samsung Open Source QA-Board umożliwia wstrzyknięcie poleceń systemu operacyjnego.
- CVE-2026-97381Krytyczne
Legacy Update to narzędzie do aktywacji i instalowania aktualizacji na starszych komputerach z Windows. W wersjach od 1.12.0 do 1.13.1 występuje błąd walidacji pochodzenia w metodzie IsPermitted kontrolki ActiveX. Po odczytaniu nazwy hosta dokumentu hostującego nazwa hosta spoza listy dozwolonych nie ustawia E_ACCESSDENIED, przez co IsPermitted zwraca S_OK. Atakujący, który nakłoni użytkownika do odwiedzenia złośliwej strony w Internet Explorerze, może wywołać kontrolkę, aby wyliczyć informacje o aktualizacjach i systemie, zainstalować aktualizacje bez zgody, wyświetlić okna dialogowe lub ponownie uruchomić komputer, gdy oczekuje na restart. Problem naprawiono w Legacy Update 1.13.2.
- CVE-2026-93909Krytyczne
IBM WebSphere Application Server - Liberty w wersjach od 17.0.0.3 do 26.0.0.10 jest podatny na obejście uwierzytelniania, gdy włączona jest funkcja samlWeb-2.0.
Oryginalny opis (angielski, źródło NVD)
The Printcart Store (PCDesigner / NB Designer) plugin for WooCommerce is vulnerable to unauthenticated arbitrary file upload leading to remote code execution in all versions up to, and including, 2.9.1 The nbdesigner_copy_image_from_url AJAX action is registered for logged-out callers (wp_ajax_nopriv_), and its Google Drive branch rebuilds the destination filename from the raw, attacker-supplied gapi[name] parameter — bypassing the jpg/jpeg/png/gif allow-list applied on the other branch — and writes the fetched bytes to a web-accessible directory (wp-content/uploads/nbdesigner/temp/). This makes it possible for unauthenticated attackers to write a .php file to a web-served, PHP-executing location and, by supplying their own Google Drive file and OAuth token as the content source, execute arbitrary code on the server. The required save-design nonce is handed to anonymous callers by the nbd_check_use_logged_in endpoint, so it presents no barrier.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS