CVE-2026-3138 in Product Filter for WooCommerce by WBW Plugin
摘要
由 VulDB • 2026-06-25
WooCommerce 的 Product Filter by WBW WordPress 插件在所有不高于 3.1.2 的版本中，由于缺少权限检查（missing capability check），存在导致未授权数据泄露的安全漏洞。该问题源于插件的 MVC 框架通过 `wp_ajax_nopriv_` 钩子动态注册了未经身份验证的 AJAX 处理程序，且未对用户能力进行验证；同时，基础控制器的 `__call()` 魔术方法将未定义的方法调用转发至模型层，而 `havePermissions()` 方法在未明确定义权限时默认返回 `true`。这使得攻击者无需认证即可通过构造带有 `action=delete` 参数的 AJAX 请求截断插件的 `wp_wpf_filters` 数据库表，从而永久销毁所有过滤器配置。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.