CVE-2026-11396 in Product Filter for WooCommerce by WBW Plugin
要約
〜によって VulDB • 2026年10月31日
WordPress用プラグイン「WBW plugin」の「The Product Filter for WooCommerce」には、3.4.6およびそれ以前の全バージョンにおいて、'filtersFrontend' AJAXアクションのパラメータ 'filterSettings[default_query]' を介して、認証不足（Missing Authorization）/ 情報漏洩（Information Disclosure）の脆弱性が存在します。このハンドラーは 'wp_ajax_nopriv_filtersFrontend' として登録されており、権限チェックやnonce検証を行いません。生のPOSTデータがJSONデコードされて $filterSettings に格納され、攻撃者が制御可能な 'default_query' 配列が無条件で WP_Query の引数に array_merge() で結合されるため、プラグインの安全な既定値（特に post_status, post_type, posts_per_page, nopaging）が上書きされます。これにより、認証されていない攻撃者は非公開のWooCommerce製品（下書き、未来投稿、保留中）を列挙し、その件数やレンダリングされたリストマークアップを取得できるほか、すべての製品を1つのリクエストで読み込む無制限クエりを強制することが可能になります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.