CVE-2026-7436

ŚrednieCVSS 6.4

Opublikowano: 29/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 29/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka WPC Badge Management for WooCommerce dla WordPressa jest podatna na trwałe XSS przez atrybut 'text' shortcodu `wpcbm_best_seller`. Brak odpowiedniej sanityzacji i eskejpowania wyjścia pozwala uwierzytelnionym użytkownikom (od Współautora wzwyż) na wstrzyknięcie dowolnego kodu JavaScript. Dotyczy wersji do 3.1.6 włącznie.

Ocena ryzyka

Atakujący może wstrzyknąć skrypty, które wykonają się na stronach odwiedzanych przez innych użytkowników, co może prowadzić do kradzieży danych lub przejęcia konta.

Rekomendacja

Zaleca się aktualizację wtyczki WPC Badge Management for WooCommerce do najnowszej wersji.

Inne podatności w WPC Badge Management for WooCommerce

CVE-2025-14767Średnie
Wtyczka WPC Badge Management dla WooCommerce dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybut 'text' shortcodu `wpcbm_best_seller` we wszystkich wersjach do 3.1.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Shop Managera i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane przy każdym dostępie do zainfekowanej strony.

Oryginalny opis (angielski, źródło NVD)

The WPC Badge Management for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'text' attribute of the `wpcbm_best_seller` shortcode in all versions up to, and including, 3.1.6 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS