CVE-2026-115596
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W wtyczce eCommerce Product Catalog firmy impleCode występuje podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiająca odbity XSS. Problem dotyczy wersji od nieznanej do 3.6.4 włącznie.
Ocena ryzyka
Odbity XSS może pozwolić atakującemu na wykonanie złośliwego skryptu w przeglądarce ofiary za pomocą spreparowanego linku, potencjalnie prowadząc do kradzieży sesji lub danych.
Rekomendacja
Zaktualizuj wtyczkę eCommerce Product Catalog do wersji nowszej niż 3.6.4. Zastosuj walidację i kodowanie danych wejściowych w aplikacji.
Inne podatności w eCommerce Product Catalog
Zobacz wszystkie- CVE-2026-96344Wysokie
Podatność PHP Object Injection w wtyczce eCommerce Product Catalog w wersjach do 3.6.0, która może być wykorzystana przez niestandardową rolę użytkownika.
- CVE-2026-52693Krytyczne
Wersje katalogu produktów eCommerce do 3.5.5 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-116851Wysokie
Wtyczka WordPress eCommerce Product Catalog w wersjach do 3.6.5 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.
- CVE-2026-105056Średnie
Podatność typu Stored XSS w wtyczce eCommerce Product Catalog do wersji 3.6.2. Umożliwia wstrzyknięcie trwałego skryptu, który może być wykonany w kontekście przeglądarki użytkownika.
- CVE-2026-76128Średnie
Wtyczka eCommerce Product Catalog dla WordPressa jest podatna na przechowywany atak XSS przez atrybut 'style' w shortcode'ie we wszystkich wersjach do 3.5.10 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy dostępie użytkownika. Ładunek omija sanityzację wp_kses_post WordPressa, ponieważ złośliwa treść jest przechowywana w nawiasach shortcode'a bez tagów HTML.
- CVE-2026-57360Wysokie
Wtyczka eCommerce Product Catalog w wersji 3.5.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in impleCode eCommerce Product Catalog ecommerce-product-catalog allows Reflected XSS.This issue affects eCommerce Product Catalog: from n/a through 3.6.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS