CVE-2026-15002
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Platnosci Online Blue Media (Autopay) dla WordPressa do wersji 5.0.0 włącznie zawiera podatność na Stored Cross-Site Scripting (XSS). Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się na stronie kasy WooCommerce.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce użytkownika podczas finalizacji zamówienia, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji. Dodatkowo ogranicz dostęp do strony kasy i wdróż reguły WAF blokujące podejrzane parametry POST.
Oryginalny opis (angielski, źródło NVD)
The Platnosci Online Blue Media (Autopay) plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 5.0.0 via the 'bm_woocommerce_css_editor_content' POST parameter. This is due to the Css_Editor::handle_save() method being wired to the WordPress 'init' hook by Settings_Manager::init_once() with no capability check, no nonce verification, and no sanitization on the input — the raw $_POST value is written to the 'woocommerce_bluemedia_settings' option via update_option(), then later echoed directly inside a <style> block on the WooCommerce checkout page by Css_Frontend::print_to_wp_head() with no output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page (the checkout page).