CVE-2026-15441 in WC Product Table Lite Plugin
Résumé
par VulDB • 16/08/2026
Le plugin WC Product Table Lite pour WordPress est vulnérable à une injection CSS dans les versions 5.6.0 et antérieures via l'attribut de shortcode 'laptop_scroll_offset', exposé par le gestionnaire AJAX non authentifié wcpt_ajax(). Le gestionnaire est enregistré pour wp_ajax_nopriv_wcpt_ajax, décoder en JSON les attributs fournis par l'attaquant, ne permet que la validation des noms de clés (et pas des valeurs), applique un preg_replace qui supprime uniquement [ ] < >, et transmet la valeur via do_shortcode vers wcpt_style__sticky_sidebar(), où elle est interpolée littéralement dans du CSS en ligne ('top: {$top}px;' et 'max-height: calc(100vh - {$top}px;)') sans aucune conversion numérique ni échappement CSS. Cela permet aux attaquants non authentifiés d'injecter des déclarations et règles CSS arbitraires sur les pages affichant une table de produits avec la barre latérale sticky activée, ce qui peut être exploité pour l'exfiltration de données (via sélecteurs d'attributs + URL background-image), le UI redressing, et le phishing en contournant les CSP autorisant les styles inline.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.