CVE-2026-15441 in WC Product Table Lite Plugin
要約
〜によって VulDB • 2026年08月16日
WordPress用プラグイン「WC Product Table Lite」のバージョン5.6.0以前には、認証不要のwcpt_ajax() AJAXハンドラーを介して公開される'laptop_scroll_offset'ショートコード属性を通じてCSSインジェクション脆弱性が存在します。このハンドラーはwp_ajax_nopriv_wcpt_ajaxに対して登録されており、攻撃者が提供した属性値をJSONデコードし、キー名のみをホワイトリスト化（値は対象外）しています。さらに、[ ] < > だけを削除するpreg_replace処理を適用した後、do_shortcodeを通じてwcpt_style__sticky_sidebar()に渡されます。そこでは数値変換やCSSエスケープが行われず、インラインCSS ('top: {$top}px;' および 'max-height: calc(100vh - {$top}px);') にそのまま挿入（interpolated verbatim）されます。これにより、認証不要の攻撃者はスティッキーサイドバーが有効な商品テーブルが表示されるページに任意のCSS宣言およびルールをインジェクトでき、属性セレクタとbackground-image URLを用いたデータ盗み出し（data exfiltration）、UI redressing、そしてインラインスタイルを許可するCSPを回避したフィッシングが可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.