CVE-2026-111601
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Hippoo Mobile App for WooCommerce dla WordPressa w wersjach do 1.12.0 włącznie jest podatna na odbity cross-site scripting (XSS) poprzez parametr 'token_id' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, jeśli uda się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań lub innych działań w kontekście witryny.
Rekomendacja
Zaktualizuj wtyczkę Hippoo Mobile App for WooCommerce do wersji nowszej niż 1.12.0, która naprawia tę podatność. Poinformuj użytkowników o ryzyku klikania podejrzanych linków.
Inne podatności w Hippoo Mobile App for WooCommerce
Zobacz wszystkie- CVE-2026-108483Wysokie
Wtyczka Hippoo Mobile App for WooCommerce (hippoo) zawiera podatność typu Reflected Cross-site Scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach do 1.12.0 włącznie.
- CVE-2026-49065Wysokie
W aplikacji mobilnej Hippoo dla WooCommerce w wersjach do 1.9.5 występuje problem z nieautoryzowanym dostępem, który może prowadzić do naruszenia kontroli dostępu.
- CVE-2025-12655Średnie
Wtyczka Hippoo Mobile App for WooCommerce dla WordPressa do wersji 1.7.1 jest podatna na arbitralny zapis plików z powodu braku autoryzacji. Punkt końcowy REST API `/wp-json/hippoo/v1/wc/token/save_callback/{token_id}` jest zarejestrowany z `permission_callback => '__return_true'`, co pozwala na nieautoryzowany dostęp. Niezautentykowani atakujący mogą zapisywać dowolną treść JSON do publicznie dostępnego katalogu upload na serwerze.
Oryginalny opis (angielski, źródło NVD)
The Hippoo Mobile App for WooCommerce plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'token_id' parameter in all versions up to, and including, 1.12.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. The URL path regex constrains the path segment to word characters, but WP_REST_Request's query-string parameter precedence allows a ?token_id= value to override it and reach the handler verbatim, bypassing the regex constraint entirely.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS