CVE-2026-87964
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Menedżer kanałów produktów dla WooCommerce – Kanał CTX – Obsługa 220+ Wtyczka zakupów, AI i kanałów społecznościowych dla WordPress jest podatna na wstrzykiwanie kodu PHP we wszystkich wersjach aż do 8.0.26 włącznie. Dzieje się tak z powodu niewystarczającego oczyszczenia parametru `feedConfigCustom2` — przed zapisaniem wartości dosłownie za pomocą `update_option()` stosowana jest tylko `wp_unslash()`, a podczas generowania pliku danych metoda `Custom2Template::evaluate_return()` przekazuje zapisane wyrażenia szablonu `{(return ...)}` bezpośrednio do funkcji `eval()` PHP bez żadnego poziomu kodu sanityzacja. Dzięki temu uwierzytelnieni atakujący z dostępem na poziomie Menedżera sklepu i wyższym mogą wstrzykiwać i wykonywać dowolny kod PHP na serwerze, zwiększając swoje uprawnienia poza to, na co zwykle pozwala ta rola, do pełnego zdalnego wykonania kodu i przejęcia witryny. Opcja `ctxfeed_custom2_eval_enabled` ma domyślnie wartość `true`, co oznacza, że nie jest wymagana żadna dodatkowa konfiguracja administratora, aby ta ścieżka ataku mogła zostać wykorzystana od razu po wyjęciu z pudełka.
>_ Słabości (CWE)
>_ Referencje
- https://plugins.trac.wordpress.org/browser/webappick-product-feed-for-woocommerce/tags/8.0.15/V8/API/FeedEndpoint.php#L1893
- https://plugins.trac.wordpress.org/browser/webappick-product-feed-for-woocommerce/tags/8.0.15/V8/API/FeedEndpoint.php#L456
- https://plugins.trac.wordpress.org/browser/webappick-product-feed-for-woocommerce/tags/8.0.15/V8/API/RestController.php#L46
- https://plugins.trac.wordpress.org/browser/webappick-product-feed-for-woocommerce/tags/8.0.15/V8/Template/Custom2Template.php#L153
- https://plugins.trac.wordpress.org/browser/webappick-product-feed-for-woocommerce/tags/8.0.15/V8/Template/Custom2Template.php#L623
- https://plugins.trac.wordpress.org/browser/webappick-product-feed-for-woocommerce/tags/8.0.17/V8/API/FeedEndpoint.php#L1893
- https://plugins.trac.wordpress.org/browser/webappick-product-feed-for-woocommerce/tags/8.0.17/V8/API/FeedEndpoint.php#L456
- https://plugins.trac.wordpress.org/browser/webappick-product-feed-for-woocommerce/tags/8.0.17/V8/API/RestController.php#L46
- https://plugins.trac.wordpress.org/browser/webappick-product-feed-for-woocommerce/tags/8.0.17/V8/Template/Custom2Template.php#L153
- https://plugins.trac.wordpress.org/browser/webappick-product-feed-for-woocommerce/tags/8.0.17/V8/Template/Custom2Template.php#L623
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3711354%40webappick-product-feed-for-woocommerce&new=3711354%40webappick-product-feed-for-woocommerce
- https://www.wordfence.com/threat-intel/vulnerabilities/id/5f900cd9-90f8-46e3-942e-de20a288a1a6?source=cve
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org