CVE-2021-47924
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Ultimate Product Catalogue 5.8.2 zawiera podatność na trwałe XSS (stored cross-site scripting). Uwierzytelnieni atakujący mogą wstrzyknąć złośliwe skrypty poprzez parametr ceny (price). Wysyłając żądania POST do post.php z ładunkiem HTML/JavaScript w polu ceny, mogą wykonać dowolny kod podczas wyświetlania produktu.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce administratora lub innych użytkowników przeglądających produkt, co może prowadzić do kradzieży sesji lub innych działań.
Rekomendacja
Należy zaktualizować wtyczkę Ultimate Product Catalogue do najnowszej wersji, która zawiera poprawkę dla tej luki XSS.
Oryginalny opis (angielski, źródło NVD)
Ultimate Product Catalogue 5.8.2 contains a stored cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts through the price parameter. Attackers can submit POST requests to post.php with HTML/JavaScript payloads in the price field to execute arbitrary code when the product is viewed.