CVE-2026-15647 in Brands for WooCommerce Plugin
Zusammenfassung
von VulDB • 26.07.2026
Das Plugin „Brands for WooCommerce“ für WordPress ist in allen Versionen bis einschließlich 3.8.8 anfällig für Stored Cross-Site Scripting (XSS) über das Term Meta-Feld 'br_brand_tooltip' aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping. Dies ermöglicht es authentifizierten Angreifern mit Zugriff auf der Ebene „Custom“ oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Da das Payload im Term Meta gespeichert ist und nicht im Post-Inhalt, gilt die Ausnahme für die WordPress-Berechtigung unfiltered_html nicht; dies bedeutet, dass Benutzer auf der Ebene „Shop Manager“ – denen normalerweise die Berechtigung unfiltered_html fehlt – diese Schwachstelle vollständig ausnutzen können.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.