CVE-2026-84280
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na przechowywany XSS poprzez parametr 'elements[].title' w zamówieniu shortcode z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty ładunek jest zapisywany do DOM poprzez innerHTML w obsłudze zdarzenia JavaScript beforeElementAdd podczas przetwarzania pola elements[].title z zapisanego JSON zamówienia, co oznacza, że wykonanie następuje konkretnie, gdy administrator przegląda zamówienia shortcode w panelu administracyjnym WordPressa.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce administratora, co może prowadzić do przejęcia sesji administratora i pełnej kontroli nad witryną. Ryzyko jest wysokie, ponieważ atak nie wymaga uwierzytelnienia, a ofiarą jest administrator.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 6.5.2, jeśli jest dostępna. W przeciwnym razie rozważ wyłączenie wtyczki lub zastosowanie reguł WAF.
Inne podatności w Fancy Product Designer
Zobacz wszystkie- CVE-2026-84281Wysokie
Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole 'productTitle' w metadanych pozycji zamówienia '_fpd_data'. Akcja AJAX fpd_save_order jest dostępna dla niezalogowanych użytkowników bez weryfikacji nonce i uprawnień, a zastosowana sanityzacja strip_tags() jest omijana przez sekwencje ucieczki Unicode w JSON, które json_decode() zamienia z powrotem na nawiasy kątowe podczas wyświetlania zamówienia w panelu administratora.
- CVE-2026-84279Wysokie
Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'output_format' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Atakujący niezalogowany może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wymaga to włączonej funkcji Pro Export/Genius, ponieważ podatna akcja AJAX fpd_pr_export jest rejestrowana tylko wtedy, gdy ta funkcja jest aktywna.
- CVE-2025-13231Średnie
Wtyczka Fancy Product Designer dla WordPressa jest podatna na atak SSRF we wszystkich wersjach do 6.4.8 włącznie, z powodu wyścigu TOCTOU w parametrze 'url' akcji AJAX fpd_custom_uplod_file. Wtyczka najpierw waliduje URL za pomocą getimagesize(), a następnie pobiera ten sam URL za pomocą file_get_contents(). Umożliwia to nieuwierzytelnionym atakującym wykorzystanie luki czasowej do przeprowadzenia ataków SSRF, serwując prawidłowy obraz podczas walidacji, a następnie zmieniając odpowiedź na przekierowanie do dowolnych wewnętrznych lub zewnętrznych adresów URL podczas rzeczywistego pobierania.
- CVE-2025-13439Średnie
Wtyczka Fancy Product Designer dla WordPressa w wersjach do 6.4.8 włącznie jest podatna na ujawnienie informacji i deserializację PHAR z powodu niewystarczającej walidacji danych wejściowych w parametrze 'url' akcji AJAX 'fpd_custom_uplod_file'. Dane te trafiają bez sanityzacji do funkcji 'getimagesize', co umożliwia nieuwierzytelnionemu atakującemu odczyt dowolnych wrażliwych plików z serwera, w tym wp-config.php.
Oryginalny opis (angielski, źródło NVD)
The Fancy Product Designer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Shortcode Order 'elements[].title' Parameter in all versions up to, and including, 6.5.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The injected payload is written to the DOM via innerHTML within the beforeElementAdd JavaScript event handler when processing the elements[].title field from the stored order JSON, meaning execution occurs specifically when an administrator reviews shortcode orders in the WordPress admin panel.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS