Analityczne wykorzystywanie plików cookies
CVE-2026-15794: Stored Cross-Site Scripting w wtyczce Grid/List View for WooCommerce
Podatność XSS w wtyczce WooCommerce Grid/List View umożliwia ataki przez shortcode 'position'. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 9.29%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Grid/List View for WooCommerce do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybut 'position' w shortcode, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika. Atak może być wymuszony na dowolnej stronie za pomocą atrybutu all_page="1".
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi wstrzyknięcie i wykonanie złośliwych skryptów w kontekście witryny, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i właścicieli sklepu. Ryzyko wzrasta, gdy widget jest wymuszany na wszystkich stronach, rozszerzając powierzchnię ataku poza strony sklepu i kategorii.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji shortcode z atrybutem all_page="1" w celu zmniejszenia ryzyka.