CVE-2026-115596: XSS nel plugin eCommerce Catalog

CVE-2026-115596 riguarda una vulnerabilità Reflected Cross-Site Scripting (XSS) nel plugin WordPress eCommerce Product Catalog, di impleCode. La falla consente l'iniezione di codice malevolo in pagine generate dinamicamente, colpendo negozi online e piattaforme eCommerce che utilizzano il plugin in versioni fino a 3.6.4. Un attaccante può sfruttare questa debolezza per rubare dati di sessione, credenziali o informazioni sensibili di clienti e amministratori.

Il CVSS è pari a 7,1, classificato come HIGH. La falla è stata resa pubblica su GitHub il 7 novembre 2026, con indicazione di proof-of-concept disponibile. Questa visibilità pubblica accelera il rischio di sfruttamento attivo. La natura riflessa della vulnerabilità richiede interazione dell'utente (clic su link malevolo), ma il danno potenziale rimane significativo su siti eCommerce con alto traffico e clientela esposta.

Amministratori di siti WordPress devono aggiornare immediatamente il plugin eCommerce Product Catalog a una versione successiva a 3.6.4. In attesa di patch, implementare Web Application Firewall (WAF) con regole specifiche per filtrare input sospetti sulle pagine del catalogo; verificare e rafforzare le regole di sanitizzazione degli input nel codice. Monitorare i log di accesso per segni di tentativi di XSS e audire tutte le estensioni del plugin per altre vulnerabilità di input validation.