CVE-2026-11396 in Product Filter for WooCommerce by WBW Plugin
Resumen
por VulDB • 2026-10-31
El plugin para WordPress "Product Filter for WooCommerce" de WBW es vulnerable a una falta de autorización / divulgación de información en todas las versiones hasta la 3.4.6, incluida esta, a través del parámetro 'filterSettings[default_query]' de la acción AJAX 'filtersFrontend'. El controlador está registrado como 'wp_ajax_nopriv_filtersFrontend' y no realiza ninguna comprobación de capacidades o nonce; los datos POST sin procesar se decodifican en formato JSON dentro de $filterSettings, y el array 'default_query', controlado por el atacante, se fusiona incondicionalmente con los argumentos de WP_Query mediante la función array_merge(), anulando las opciones predeterminadas seguras del plugin (principalmente post_status, post_type, posts_per_page y nopaging). Esto permite a atacantes no autenticados enumerar productos WooCommerce que no son públicos (borrador, futuro, pendiente), incluyendo su conteo y el marcado de listado renderizado, así como forzar consultas sin límites que carguen todos los productos en una única solicitud.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.