CVE-2026-11396 in Product Filter for WooCommerce by WBW Plugin
Zusammenfassung
von VulDB • 31.10.2026
Der Product Filter für WooCommerce von WBW ist ein WordPress-Plugin und ist in allen Versionen bis einschließlich 3.4.6 anfällig für Missing Authorization / Information Disclosure über den Parameter 'filterSettings[default_query]' der AJAX-Aktion 'filtersFrontend'. Der Handler wird als 'wp_ajax_nopriv_filtersFrontend' registriert und führt keine Capability- oder Nonce-Prüfung durch; rohe POST-Daten werden in $filterSettings JSON-dekodiert, und das vom Angreifer kontrollierte Array 'default_query' wird bedingungslos mit array_merge() in die WP_Query-Argumente eingefügt, wodurch die sicheren Standardwerte des Plugins (insbesondere post_status, post_type, posts_per_page und nopaging) überschrieben werden. Dies ermöglicht es nicht authentifizierten Angreifern, nicht öffentliche WooCommerce-Produkte (Entwurf, zukünftig, ausstehend) – einschließlich ihrer Anzahl und des gerenderten Listing-Markups – aufzulisten sowie unbegrenzte Abfragen zu erzwingen, die alle Produkte in einer einzigen Anfrage laden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.