CVE-2026-8865: Stored Cross-Site Scripting w wtyczce Avalon23 Products Filter dla WooCommerce

Co wiadomo

Wtyczka Avalon23 Products Filter dla WooCommerce w WordPressie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'avalon23_qr' w wersjach do 1.1.6 włącznie. Problem wynika z niewystarczającej sanitacji i escapingu atrybutów shortcode, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie Współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Avalon23 Products Filter i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie dla ról z możliwością dodawania shortcode'ów. Dodatkowo warto przeprowadzić przegląd logów pod kątem podejrzanych aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian. Wdrożenie mechanizmów filtrowania i escapingu danych wejściowych również zwiększy bezpieczeństwo.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference