VULNERABILIDADDetectada 07 NOV · 01:35

CVE-2026-121516 Cross-site scripting almacenado no autenticado en QODE Wishlist for WooCommerce vía 'table_title'

El plugin QODE Wishlist for WooCommerce para WordPress es vulnerable a cross-site scripting almacenado en todas las versiones hasta la 1.2.9 mediante el parámetro 'qode_wishlist_for_woocommerce_guests_items', por sanitización y escape insuficientes. Atacantes no autenticados pueden inyectar scripts que se ejecutan cuando un usuario accede a la página afectada. El nonce wp_rest se emite públicamente en la página /wishlist/ y el atacante controla la clave del transient, por lo que el payload se almacena en todo el…

6.1MEDIA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,3 % · percentil 20
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

qodeinteractive QODE Wishlist for WooCommerce
hasta 1.2.9

Qué hacer

Verificá si usás QODE Wishlist for WooCommerce y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.1 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioRequerida
AlcanceCambiado
ConfidencialidadBaja
IntegridadBaja
DisponibilidadNinguna

Descripción original

The QODE Wishlist for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'qode_wishlist_for_woocommerce_guests_items' parameter in all versions up to, and including, 1.2.9 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is exploitable by guests because the required wp_rest nonce is publicly emitted to unauthenticated visitors on the /wishlist/ page, and the attacker controls the transient key, meaning the payload is stored site-wide and only requires a victim to open a crafted share URL and click the injected title link. Successful exploitation additionally requires an action by an administrator — the attacker cannot trigger the vulnerability on their own.

Referencias (8)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.