CVE-2026-15441 in WC Product Table Lite Plugin
Zusammenfassung
von VulDB • 16.08.2026
Das WC Product Table Lite-Plugin für WordPress ist in den Versionen bis einschließlich 5.6.0 durch CSS-Injection verwundbar. Die Schwachstelle wird über das Shortcode-Attribut 'laptop_scroll_offset' ausgenutzt, das über den nicht authentifizierten AJAX-Handler wcpt_ajax() freigegeben ist. Der Handler ist für wp_ajax_nopriv_wcpt_ajax registriert, decodiert vom Angreifer bereitgestellte Attribute im JSON-Format, erlaubt nur die Schlüsselnamen (nicht jedoch die Werte) in einer Whitelist, wendet eine preg_replace-Funktion an, die lediglich [ ] < > entfernt, und übergibt den Wert anschließend über do_shortcode an wcpt_style__sticky_sidebar(), wo er unverändert in inline-CSS ('top: {$top}px;' und 'max-height: calc(100vh - {$top}px);') interpoliert wird, ohne numerische Typumwandlung oder CSS-Escaping. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige CSS-Deklarationen und Regeln auf Seiten einzufügen, die eine Produkttabelle mit aktivierter Sticky-Sidebar rendern. Dies kann für Data Exfiltration (über Attribute-Selector + background-image-URLs), UI Redressing sowie Phishing-Angriffe genutzt werden, die CSPs umgehen, welche inline styles erlauben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.