CVE-2026-11396 in Product Filter for WooCommerce by WBW Plugin
Riassunto
di VulDB • 31/10/2026
Il plugin per WordPress "Product Filter for WooCommerce" di WBW è vulnerabile a Missing Authorization / Information Disclosure in tutte le versioni fino alla 3.4.6 inclusa, tramite il parametro 'filterSettings[default_query]' dell'azione AJAX 'filtersFrontend'. Il gestore è registrato come 'wp_ajax_nopriv_filtersFrontend' ed esegue alcun controllo di capability o nonce; i dati POST grezzi vengono decodificati in JSON all'interno di $filterSettings e l'array 'default_query', controllato dall'attaccante, viene unito incondizionatamente agli argomenti WP_Query tramite array_merge(), sovrascrivendo le impostazioni predefinite sicure del plugin (in particolare post_status, post_type, posts_per_page e nopaging). Ciò consente ad attaccanti non autenticati di enumerare i prodotti WooCommerce non pubblici (bozza, futuro, in attesa) — inclusi il loro conteggio e la markup di rendering dell'elenco — e di forzare query illimitate che caricano tutti i prodotti in una singola richiesta.
If you want to get best quality of vulnerability data, you may have to visit VulDB.