CVE-2026-105056
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Podatność typu Stored XSS w wtyczce eCommerce Product Catalog do wersji 3.6.2. Umożliwia wstrzyknięcie trwałego skryptu, który może być wykonany w kontekście przeglądarki użytkownika.
Ocena ryzyka
Możliwość kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego kodu.
Rekomendacja
Zaktualizuj wtyczkę eCommerce Product Catalog do wersji z poprawką.
Inne podatności w eCommerce Product Catalog
Zobacz wszystkie- CVE-2026-96344Wysokie
Podatność PHP Object Injection w wtyczce eCommerce Product Catalog w wersjach do 3.6.0, która może być wykorzystana przez niestandardową rolę użytkownika.
- CVE-2026-52693Krytyczne
Wersje katalogu produktów eCommerce do 3.5.5 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-116851Wysokie
Wtyczka WordPress eCommerce Product Catalog w wersjach do 3.6.5 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.
- CVE-2026-115596Wysokie
W wtyczce eCommerce Product Catalog firmy impleCode występuje podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiająca odbity XSS. Problem dotyczy wersji od nieznanej do 3.6.4 włącznie.
- CVE-2026-76128Średnie
Wtyczka eCommerce Product Catalog dla WordPressa jest podatna na przechowywany atak XSS przez atrybut 'style' w shortcode'ie we wszystkich wersjach do 3.5.10 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy dostępie użytkownika. Ładunek omija sanityzację wp_kses_post WordPressa, ponieważ złośliwa treść jest przechowywana w nawiasach shortcode'a bez tagów HTML.
- CVE-2026-57360Wysokie
Wtyczka eCommerce Product Catalog w wersji 3.5.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in impleCode eCommerce Product Catalog ecommerce-product-catalog allows Stored XSS.This issue affects eCommerce Product Catalog: from n/a through 3.6.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS