CVE-2026-119065 in Shipping Zones by Drawing for WooCommerce Plugin
요약
\~에 의해 VulDB • 2026. 10. 31.
WordPress용 WooCommerce 플러그인인 Shipping Zones by Drawing for WooCommerce는 최대 3.3.0 버전까지 'szbd-picked' 체크아웃 매개변수를 통해 저장형 크로스 사이트 스크립팅(XSS) 취약점에 노출되어 있습니다. szbd_checkout_field_update_order_meta() 핸들러는 JSON 구조를 검증하거나 위험한 문자를 제한하지 않은 채로 stripslashes(sanitize_text_field($_POST['szbd-picked'])) 값을 주문 메타데이터에 저장합니다. 또한, szbd_show_checkout_field_admin_order_meta() 핸들러는 나중에 디코딩된 위도(lat) 및 경도(lng) 값을 esc_url() 또는 esc_attr() 없이 직접 이중 따옴표로 감싸진 href 속성에 연결합니다. 이로 인해 인증되지 않은 공격자가 장난성(szbd-picked JSON 페이로드가 포함된) 일반 게스트 체크아웃 주문을 제출함으로써 WooCommerce 관리자 주문 보기에서 Google Maps 링크에 onmouseover와 같은 임의의 특성을 삽입할 수 있으며, 관리자가 해당 삽입된 주문에 접근하는 순간 이 특성이 실행됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.