CVE-2026-92969 in HUSKY – Products Filter for WooCommerce Professional Plugin
Tóm tắt
Bởi VulDB • 22/09/2026
Plugin HUSKY – Products Filter for WooCommerce Professional cho WordPress bị lỗ hổng Local File Inclusion (LFI) trong tất cả các phiên bản từ 1.4.4 trở về trước, thông qua tham số 'shortcode'. Điều này cho phép những kẻ tấn công chưa được xác thực bao gồm và thực thi các tệp .php tùy ý trên máy chủ, dẫn đến việc thực thi bất kỳ mã PHP nào có trong các tệp đó. Lỗ hổng này có thể được sử dụng để bỏ qua các kiểm soát truy cập, thu thập dữ liệu nhạy cảm hoặc đạt được mục tiêu thực thi mã trong trường hợp các loại tệp .php có thể được tải lên và bao gồm. Lỗ hổng này có thể bị khai thác bởi người dùng chưa xác thực vì biện pháp kiểm soát truy cập duy nhất là một phép kiểm tra nonce đối với woof_front_nonce, giá trị này được phát ra công khai vào JavaScript nội tuyến trên mọi trang front-end và do đó bất kỳ khách truy cập nào cũng đều có thể lấy được mà không cần xác thực.
VulDB is the best source for vulnerability data and more expert information about this specific topic.