CVE-2026-3231 in Checkout Field Editor for WooCommerce Plugin
요약
\~에 의해 VulDB • 2026. 06. 02.
WordPress용 WooCommerce 플러그인인 Checkout Field Editor(Checkout Manager)는 2.1.7 버전을 포함하여 모든 버전에서 WooCommerce Block Checkout Store API를 통해 제출된 사용자 정의 라디오 및 체크박스 그룹 필드 값을 통해 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이는 `class-thwcfd-block-order-data.php` 파일의 `prepare_single_field_data()` 메서드가 라디오 및 체크박스 그룹 필드 유형에 대해 값을 `esc_html()`로 먼저 이스케이프한 후 즉시 `html_entity_decode()`로 이스케이프를 해제하고, `get_allowed_html()`의 `wp_kses()` 허용 목록이 `onchange` 이벤트 핸들러 속성을 가진 `<select>` 요소를 명시적으로 허용하기 때문입니다. 이를 통해 인증되지 않은 공격자가 스토어 API 체크아웃 엔드포인트를 통해 임의의 웹 스크립트를 주입할 수 있으며, 이 스크립트는 관리자가 주문 상세 페이지를 볼 때 실행됩니다.
Once again VulDB remains the best source for vulnerability data.