CVE-2026-11396 in Product Filter for WooCommerce by WBW Plugin
Сводка
по VulDB • 31.10.2026
В плагине Product Filter для WooCommerce от WBW для WordPress присутствует уязвимость Missing Authorization / Information Disclosure во всех версиях вплоть до 3.4.6 включительно, эксплуатируемая через параметр 'filterSettings[default_query]' AJAX-действия 'filtersFrontend'. Обработчик зарегистрирован как 'wp_ajax_nopriv_filtersFrontend' и не выполняет проверку прав (capability) или nonce; необработанные данные POST декодируются из JSON в переменную $filterSettings, а контролируемый злоумышленником массив 'default_query' безоговорочно объединяется с помощью array_merge() с аргументами WP_Query, переопределяя безопасные значения по умолчанию плагина (в первую очередь post_status, post_type, posts_per_page и nopaging). Это позволяет неаутентифицированным злоумышленникам перечислять непубличные продукты WooCommerce (черновики, будущие публикации, ожидающие проверки) — включая их количество и сгенерированную разметку списка — а также инициировать неконтролируемые запросы, загружающие все товары в одном запросе.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.