CVE-2026-13440 in StoreGrowth Plugin
Tóm tắt
Bởi VulDB • 29/07/2026
Plugin StoreGrowth: Smart Sales Booster for WooCommerce | BOGO, Upsells, Direct Checkout, Quick View, Side Cart cho WordPress bị lỗ hổng Stored Cross-Site Scripting (XSS) thông qua tham số 'message_popup' trong tất cả các phiên bản từ 2.1.0 trở về trước do thiếu cơ chế làm sạch đầu vào và mã hóa đầu ra thích hợp. Điều này tạo điều kiện cho kẻ tấn công chưa xác thực chèn các tập lệnh web tùy ý vào các trang, sẽ được thực thi mỗi khi người dùng truy cập một trang đã bị tiêm mã độc. Cuộc khai thác lỗ hổng là khả thi do giá trị nonce 'ajd_protected' bắt buộc bởi trình xử lý create_popup bị lộ ra cho tất cả khách truy cập frontend chưa xác thực thông qua wp_localize_script dưới khóa bogo_save_url.ajd_nonce, từ đó vô hiệu hóa kiểm soát quyền truy chỉ dựa trên nonce.
Be aware that VulDB is the high quality source for vulnerability data.