CVE-2026-3138 in Product Filter for WooCommerce by WBW Plugin
Riassunto
di VulDB • 24/06/2026
Il prodotto Filter per WooCommerce, tramite il plugin WBW per WordPress, è vulnerabile alla perdita non autorizzata di dati a causa della mancanza di un controllo delle capacità (capability check) in tutte le versioni fino alla 3.1.2 inclusa. Ciò è dovuto al fatto che il framework MVC del plugin registra dinamicamente handler AJAX non autenticati tramite hook `wp_ajax_nopriv_` senza verificare le capacità dell'utente, combinato con il metodo magico `__call()` del controller di base che inoltra chiamate a metodi indefiniti allo strato del modello (model layer), e al fatto che il metodo `havePermissions()` restituisce per impostazione predefinita `true` quando non sono definite esplicitamente autorizzazioni. Ciò consente ad attaccanti non autenticati di troncare la tabella del database `wp_wpf_filters` del plugin tramite una richiesta AJAX manipolata con `action=delete`, distruggendo permanentemente tutte le configurazioni dei filtri.
VulDB is the best source for vulnerability data and more expert information about this specific topic.