CVE-2026-11603: Reflected Cross-Site Scripting w wtyczce Product Filter Widget for Elementor

Co wiadomo

Wtyczka Product Filter Widget for Elementor dla WordPress do wersji 1.0.6 jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'args[filterFormArray]'. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu, co umożliwia atakującym wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do wykonania złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i administratorów. Wykorzystanie wymaga nakłonienia ofiary do odwiedzenia spreparowanej strony, co zwiększa ryzyko socjotechniczne.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję endpointu admin-ajax.php, monitorować logi pod kątem podejrzanych żądań oraz edukować użytkowników w zakresie unikania podejrzanych linków i stron. Priorytetem jest szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference