CVE-2026-11396
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Product Filter for WooCommerce by WBW jest podatna na brak autoryzacji / ujawnienie informacji w wersjach do 3.4.6 włącznie poprzez parametr 'filterSettings[default_query]' akcji AJAX 'filtersFrontend'. Handler jest zarejestrowany jako 'wp_ajax_nopriv_filtersFrontend' i nie wykonuje żadnego sprawdzenia uprawnień ani nonce; surowe dane POST są dekodowane JSON do $filterSettings, a kontrolowana przez atakującego tablica 'default_query' jest bezwarunkowo łączona array_merge() z argumentami WP_Query, nadpisując bezpieczne domyślne ustawienia wtyczki (zwłaszcza post_status, post_type, posts_per_page i nopaging). Umożliwia to nieuwierzytelnionym atakującym wyliczenie niepublicznych produktów WooCommerce (szkiców, przyszłych, oczekujących) — w tym ich liczby i renderowanego znacznika listy — oraz wymuszenie nieograniczonych zapytań ładujących wszystkie produkty w jednym żądaniu.
Ocena ryzyka
Możliwe ujawnienie niepublicznych informacji o produktach oraz przeciążenie serwera poprzez nieograniczone zapytania. Ryzyko dotyczy witryn z wtyczką Product Filter for WooCommerce by WBW.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 3.4.6. Jeśli aktualizacja nie jest możliwa, rozważ ograniczenie dostępu do akcji AJAX lub wyłączenie wtyczki.
Inne podatności w Product Filter for WooCommerce by WBW
Zobacz wszystkie- CVE-2026-88942Średnie
Wtyczka Product Filter for WooCommerce by WBW jest podatna na odbity XSS poprzez parametr JSON 'wpf_fid' w wersjach do 3.4.6 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku. Podatność utrzymuje się w wersjach z poprawką 3.4.3, ponieważ absint() zastosowano tylko na ścieżce odczytu getVar(), pozostawiając wartość wpf_fid odczytywaną z zdekodowanego JSON payload filterSettings całkowicie niesanityzowaną.
- CVE-2026-7804Średnie
Podatność na Reflected Cross-Site Scripting (XSS) w wtyczce Product Filter for WooCommerce by WBW dla WordPressa, we wszystkich wersjach do 3.4.2 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Niezalogowany atakujący może wstrzyknąć dowolny skrypt, jeśli użytkownik kliknie w spreparowany link.
Oryginalny opis (angielski, źródło NVD)
The Product Filter for WooCommerce by WBW plugin for WordPress is vulnerable to Missing Authorization / Information Disclosure in all versions up to, and including, 3.4.6 via the 'filterSettings[default_query]' parameter of the 'filtersFrontend' AJAX action. The handler is registered as 'wp_ajax_nopriv_filtersFrontend' and performs no capability or nonce check; raw POST data is JSON-decoded into $filterSettings and the attacker-controlled 'default_query' array is unconditionally array_merge()'d into the WP_Query arguments, overriding the plugin's safe defaults (most notably post_status, post_type, posts_per_page, and nopaging). This makes it possible for unauthenticated attackers to enumerate non-public WooCommerce products (draft, future, pending) — including their count and rendered listing markup — and to force unbounded queries that load all products in a single request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS