CVE-2026-12137: Reflected XSS w wtyczce Customize My Account dla WooCommerce

Co wiadomo

Wtyczka Customize My Account dla WooCommerce do WordPressa jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'tab' we wszystkich wersjach do 4.3.6 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez nieautoryzowanych atakujących.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do wykonania złośliwych skryptów w panelu administracyjnym WordPressa, jednak wymaga to zalogowania się ofiary z uprawnieniami co najmniej na poziomie Shop Managera. Może to prowadzić do przejęcia sesji, kradzieży danych lub manipulacji ustawieniami sklepu, co negatywnie wpływa na bezpieczeństwo i integralność środowiska e-commerce.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych aktywności. Warto również przeprowadzić przegląd uprawnień użytkowników i edukować personel o ryzyku phishingu i klikaniu podejrzanych linków.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference