CVE-2026-15647: Stored Cross-Site Scripting w wtyczce Brands for WooCommerce

Co wiadomo

Wtyczka Brands for WooCommerce dla WordPressa do wersji 3.8.8 zawiera lukę Stored Cross-Site Scripting (XSS) w polu Term Meta 'br_brand_tooltip' z powodu niewystarczającej sanitizacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej na poziomie custom mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin strony przez użytkownika.

Wpływ biznesowy

Luka pozwala na wykonanie złośliwego kodu JavaScript przez użytkowników z uprawnieniami Shop Managera, którzy normalnie nie mają dostępu do funkcji unfiltered_html. Może to prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla sklepu internetowego i jego klientów. Zagrożenie jest istotne dla właścicieli sklepów opartych na WooCommerce, którzy korzystają z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Brands for WooCommerce i ich instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji korzystających z pola 'br_brand_tooltip'.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference