Product Filter for WooCommerce by WBW: Reflected Cross-Site Scripting

Zusammenfassung

Das WordPress-Plugin Product Filter for WooCommerce by WBW enthält eine Reflected-Cross-Site-Scripting-Schwachstelle im Parameter 'text_no_products', die auf ungenügender Eingabebereinigung und Ausgabe-Escaping beruht. Ein nicht authentifizierter Angreifer kann beliebige Web-Skripte in Seiten des Shops einschleusen. Das Skript wird nur ausgeführt, wenn ein Opfer dazu verleitet wird, einen präparierten Link zu öffnen, etwa ein Kunde oder ein angemeldeter Website-Administrator.

Betroffen

• Product Filter for WooCommerce by WBW (WordPress-Plugin, woobewoo) bis und mit 3.4.5
• Die Edition WBW PRO wurde nicht überprüft.

Behoben in

• Unbekannt. In den verfügbaren Quellen wurde keine korrigierte Version bestätigt; 3.4.5 ist betroffen.

Umgehung

• Keine Workaround-Massnahme des Herstellers gefunden.
• Plugin deaktivieren, falls der Produktfilter nicht geschäftskritisch ist.
• WAF-Regel einsetzen, die Skript-Markup im betroffenen Parameter blockiert; vorher mit dem WAF-Anbieter prüfen.
• Keine unbekannten Links anklicken, während man im WordPress-Backend angemeldet ist.

Ausnutzung

• NVD-Status: Deferred.
• Der Drittanbieter-Tracker OffSeq führt die Schwachstelle als nicht bekannterweise ausgenutzt.
• In den verfügbaren Quellen wurde kein öffentlicher Proof-of-Concept gefunden.
• Der CISA-KEV-Katalog wurde nicht geprüft.

Unsere Empfehlung

• Prüfen, ob WooCommerce-Shops dieses Plugin in Version 3.4.5 oder älter einsetzen, insbesondere aus dem Internet erreichbare Shops.
• Auf eine korrigierte Version aktualisieren, sobald der Hersteller eine veröffentlicht; Changelog auf WordPress.org und das Wordfence-Advisory prüfen.
• Die oben genannten Übergangsmassnahmen anwenden, bis eine Korrektur installiert ist.
• Beachten, dass die verwandte Schwachstelle CVE-2026-88942 (Parameter 'wpf_fid') ebenfalls Versionen bis 3.4.6 betrifft; das Plugin über alle Versionen prüfen.
• Administratoren anweisen, beim angemeldeten Zustand keine unbekannten Links anzuklicken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record www.cve.org
• Wordfence advisory www.wordfence.com
• WordPress changeset 3731161 plugins.trac.wordpress.org
• Vulnerable code, tag 3.4.4 (class-woobewoo-pf-req.php) plugins.trac.wordpress.org
• OffSeq threat radar radar.offseq.com
• Strix CVE entry www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:13.