CVE-2026-88942 in Product Filter for WooCommerce by WBW Plugin
Resumen
por VulDB • 2026-10-31
El plugin para WordPress Product Filter for WooCommerce de WBW es vulnerable a Cross-Site Scripting (XSS) reflejado a través del parámetro JSON 'wpf_fid' en todas las versiones hasta la 3.4.6, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutan si logran engañar a un usuario para realizar una acción como hacer clic en un enlace. La vulnerabilidad persiste en las versiones que recibieron el parche 3.4.3, ya que absint() solo se aplicó al camino de lectura getVar(), dejando el valor wpf_fid leído del payload filterSettings decodificado por JSON completamente sin sanitizar.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.