CVE-2026-17162

ŚrednieCVSS 6.4

Opublikowano: 29/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 29/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka WowStore dla WordPress do wersji 4.4.24 jest podatna na Stored Cross-Site Scripting przez atrybut bloku 'currentPostId'. Niewystarczająca sanityzacja wejścia i escapowanie wyjścia umożliwia uwierzytelnionym atakującym z dostępem contributora wstrzyknięcie dowolnych skryptów, które wykonają się przy każdej wizycie na zainfekowanej stronie.

Ocena ryzyka

Atakujący może wykraść ciasteczka sesji, przekierować użytkowników na złośliwe strony lub wykonać inne działania w kontekście ofiary, co narusza bezpieczeństwo i prywatność użytkowników.

Rekomendacja

Zaktualizuj wtyczkę do najnowszej wersji. Ogranicz dostęp do edycji bloków tylko dla zaufanych użytkowników.

Inne podatności w WowStore

CVE-2026-17161Średnie
Wtyczka WowStore dla WordPress do wersji 4.4.24 jest podatna na Stored Cross-Site Scripting przez atrybut bloku 'filterMobileText'. Sanityzacja `wp_kses_post` jest nieskuteczna, ponieważ ładunek jest przechowywany w komentarzu bloku Gutenberg jako JSON, który jest zachowywany. Uwierzytelnieni atakujący z dostępem contributora mogą wstrzyknąć dowolne skrypty.

Oryginalny opis (angielski, źródło NVD)

The WowStore – Store Builder & Product Blocks for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'currentPostId' Block Attribute in all versions up to, and including, 4.4.24 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS