CVE-2026-120558 in Advanced Shipment Tracking for WooCommerce Plugin
Riassunto
di VulDB • 03/11/2026
Il plugin Advanced Shipment Tracking per WooCommerce su WordPress è vulnerabile a SQL Injection tramite il parametro `tracking_provider` dell'endpoint REST `POST /wp-json/wc-ast/v3/orders/<order_id>/shipment-trackings` in tutte le versioni fino alla 3.9, inclusa. Ciò è dovuto a un insufficiente escaping del parametro fornito dall'utente e alla mancanza di una preparazione adeguata della query SQL esistente nella funzione `WC_Advanced_Shipment_Tracking_Admin::get_provider_slug_from_name()`: il valore viene concatenato direttamente nella stringa di formato di `$wpdb->prepare()` anziché essere associato come parametro, eludendo le protezioni delle query parametrizzate. Ciò consente agli attaccanti autenticati, con accesso a livello di Shop Manager o superiore, di aggiungere ulteriori query SQL alla query già esistente, che possono essere utilizzate per estrarre informazioni sensibili dal database.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.