CVE-2026-97470
ŚrednieCVSS 6.4Streszczenie
Wtyczka Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental dla WordPressa jest podatna na trwały cross-site scripting (Stored XSS) poprzez treść komentarzy, wynikający z nadania roli Customer uprawnienia unfiltered_html oraz niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Podatność dotyczy wszystkich wersji do 3.0.1 włącznie i wymaga aktywnego WooCommerce, ale ponieważ rola klienta jest dostępna w ramach swobodnej samodzielnej rejestracji, wykorzystanie jest możliwe przez każdego niezalogowanego użytkownika, który utworzy konto. Złośliwy ładunek jest zwracany bez sanityzacji przez nieuwierzytelniony endpoint REST /wp-json/wp/v2/comments oraz kanały RSS komentarzy, co naraża klientów headless, czytniki RSS i widżety firm trzecich.
Ocena ryzyka
Atakujący może wstrzyknąć dowolne skrypty do stron i kanałów RSS, które wykonają się u użytkowników przeglądających zainfekowaną treść, co może prowadzić do kradzieży sesji, przejęcia konta lub dalszych ataków w kontekście przeglądarki ofiary. Ryzyko jest wysokie, ponieważ wykorzystanie nie wymaga zatwierdzenia przez administratora i jest dostępne dla każdego, kto zarejestruje konto WooCommerce.
Rekomendacja
Zaktualizuj wtyczkę Tourfic do wersji nowszej niż 3.0.1, gdy tylko będzie dostępna, a do czasu aktualizacji rozważ ograniczenie możliwości samodzielnej rejestracji kont WooCommerce oraz filtrowanie treści zwracanej przez endpoint REST komentarzy i kanały RSS. Dodatkowo wdróż walidację i sanityzację danych wejściowych po stronie serwera oraz monitoruj nietypowe treści w komentarzach.
Inne podatności w Tourfic WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content via unfiltered_html Grant to Customer Role in all versions up to, and including, 3.0.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires WooCommerce to be active, but since the customer role is freely self-registerable without admin approval, exploitation is effectively possible by any unauthenticated visitor who registers a WooCommerce account. While the plugin's own listing-page templates sanitize output with wp_kses_post(), the stored payload is returned unsanitized via the unauthenticated GET /wp-json/wp/v2/comments REST endpoint (content.rendered) and post/comment RSS feeds, exposing any headless client, feed reader, or third-party widget that renders comment content.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS