CVE-2026-96344
WysokieCVSS 7.2Streszczenie
Podatność PHP Object Injection w wtyczce eCommerce Product Catalog w wersjach do 3.6.0, która może być wykorzystana przez niestandardową rolę użytkownika.
Ocena ryzyka
Atakujący z niestandardową rolą może wstrzyknąć złośliwe obiekty PHP, co może prowadzić do zdalnego wykonania kodu lub innych nieautoryzowanych działań.
Rekomendacja
Zaleca się aktualizację wtyczki eCommerce Product Catalog do wersji, która eliminuje tę podatność.
Inne podatności w eCommerce Product Catalog
Zobacz wszystkie- CVE-2026-57360Wysokie
Wtyczka eCommerce Product Catalog w wersji 3.5.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
- CVE-2026-52693Krytyczne
Wersje katalogu produktów eCommerce do 3.5.5 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-105056Średnie
Podatność typu Stored XSS w wtyczce eCommerce Product Catalog do wersji 3.6.2. Umożliwia wstrzyknięcie trwałego skryptu, który może być wykonany w kontekście przeglądarki użytkownika.
- CVE-2026-76128Średnie
Wtyczka eCommerce Product Catalog dla WordPressa jest podatna na przechowywany atak XSS przez atrybut 'style' w shortcode'ie we wszystkich wersjach do 3.5.10 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy dostępie użytkownika. Ładunek omija sanityzację wp_kses_post WordPressa, ponieważ złośliwa treść jest przechowywana w nawiasach shortcode'a bez tagów HTML.
Oryginalny opis (angielski, źródło NVD)
Custom role PHP Object Injection in eCommerce Product Catalog <= 3.6.0 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS