Dwie niezałatane luki w Food Store dla WooCommerce. Złośliwy JavaScript może uruchomić się w panelu obsługi zamówień

Właściciele restauracji, lokali gastronomicznych i sklepów spożywczych prowadzących sprzedaż przez WooCommerce powinni pilnie sprawdzić, czy korzystają z wtyczki Food Store – Online Food Delivery & Pickup. W dniach 28 i 29 października 2026 roku ujawniono dwie poważne podatności bezpieczeństwa, oznaczone numerami CVE-2026-96669 oraz CVE-2026-116622, które umożliwiają wstrzykiwanie złośliwego kodu JavaScript do danych przetwarzanych podczas składania i obsługi zamówień. Obie luki otrzymały ocenę 7,2 punktu w skali CVSS, odpowiadającą wysokiemu poziomowi zagrożenia, a ich wykorzystanie może zostać zainicjowane bez posiadania konta administratora. Szczególnie niebezpieczny jest scenariusz, w którym przygotowany przez cyberprzestępcę kod zostaje zapisany w danych zamówienia, a następnie uruchomiony w przeglądarce pracownika obsługującego sprzedaż. Według informacji Wordfence na 30 października 2026 roku dla żadnej z tych podatności nie udostępniono potwierdzonej poprawki, a sama wtyczka została wcześniej czasowo wycofana z oficjalnego katalogu WordPress.org.

Czym jest Food Store i które sklepy korzystają z tej wtyczki?

Food Store – Online Food Delivery & Pickup to rozszerzenie WordPressa stworzone przez WP Scripts, którego zadaniem jest przekształcenie standardowej instalacji WooCommerce w internetowy system zamawiania jedzenia. Wtyczka pozwala restauracjom prezentować menu, przyjmować zamówienia z odbiorem osobistym lub dostawą oraz określać preferowany czas realizacji zamówienia. Jej funkcjonalność opiera się na istniejących mechanizmach WooCommerce, dzięki czemu produkty, koszyk, płatności i historia sprzedaży mogą być obsługiwane w jednym środowisku administracyjnym. Rozwiązanie jest przeznaczone przede wszystkim dla restauracji, pizzerii, kawiarni, firm cateringowych oraz innych przedsiębiorstw sprzedających produkty spożywcze przez internet. Dodatkowe rozszerzenia pozwalają rozbudowywać system o godziny przyjmowania zamówień, opłaty za dostawę, wybór dodatków do potraw i inne funkcje charakterystyczne dla gastronomii.

Właśnie połączenie publicznego formularza zamówienia z panelem administracyjnym WordPressa sprawia, że bezpieczeństwo mechanizmów przetwarzających dane klientów ma szczególne znaczenie. Kupujący może wybrać sposób realizacji zamówienia, określić godzinę odbioru i przekazać informacje potrzebne do przygotowania dostawy, a część tych danych trafia następnie do metadanych zamówienia. Pracownicy restauracji otwierają zamówienia w panelu WooCommerce, aby przygotować produkty, sprawdzić adresy i przekazać informacje do kuchni albo kuriera. Jeżeli dane pochodzące od klienta nie są odpowiednio filtrowane podczas zapisu i zabezpieczane przy wyświetlaniu, mogą stać się nośnikiem złośliwego kodu. W przypadku Food Store badacze bezpieczeństwa zidentyfikowali dwa odrębne błędy prowadzące właśnie do takiego scenariusza.

CVE-2026-116622 – nowa podatność w obsłudze czasu realizacji zamówienia

29 października 2026 roku Wordfence Intelligence opublikował szczegóły podatności CVE-2026-116622, wykrytej przez badacza działającego pod pseudonimem GivMeInJ. Problem dotyczy mechanizmu obsługującego parametr service_time, związany z czasem realizacji lub odbioru zamówienia. W podatnych wersjach Food Store wartość ta nie jest odpowiednio oczyszczana z niebezpiecznych danych ani prawidłowo zabezpieczana podczas wyświetlania. Oznacza to, że osoba atakująca może przygotować dane zawierające złośliwy kod JavaScript i doprowadzić do jego zapisania w zawartości przetwarzanej przez wtyczkę. Kod może zostać wykonany w przeglądarce osoby, która później otworzy podatną stronę zawierającą wstrzyknięte informacje.

Istotne jest jednak to, że CVE-2026-116622 wymaga określonej konfiguracji Food Store i nie dotyczy w identyczny sposób wszystkich instalacji rozszerzenia. Według Wordfence opcja Enable Pickup/Delivery Service musi być aktywna, natomiast ustawienie Enable Checkout Service Fields musi pozostać wyłączone. Jest to konfiguracja niestandardowa, różniąca się od domyślnych ustawień wtyczki, dlatego administrator powinien sprawdzić rzeczywisty stan obu opcji przed oceną ryzyka. Podatność występuje we wszystkich wersjach Food Store do 1.5.5 włącznie, o ile spełnione są warunki umożliwiające wykorzystanie podatnego mechanizmu. Sama obecność WooCommerce, bez Food Store i wskazanej konfiguracji, nie oznacza występowania tej konkretnej luki.

CVE-2026-96669 – druga luka związana z typem zamówienia

Dzień wcześniej, 28 października 2026 roku, Wordfence ujawnił drugą podatność Food Store, oznaczoną CVE-2026-96669 i również ocenioną na 7,2 punktu CVSS. Została ona zgłoszona przez badacza Supakiada S., działającego pod pseudonimem m3ez, i dotyczy niewłaściwej obsługi wartości określającej rodzaj realizacji zamówienia. Food Store wykorzystuje w tym celu mechanizm związany z parametrem type oraz plikiem cookie o nazwie service_type, który przechowuje informację o wybranym sposobie obsługi klienta. W podatnej implementacji wartość pochodząca z publicznie dostępnego żądania może zostać zapisana w ciasteczku przeglądarki bez wystarczającej kontroli poprawności danych. Następnie informacja ta może trafić do metadanych zamówienia i zostać wyświetlona w panelu administracyjnym bez odpowiedniego zabezpieczenia przed interpretacją jako kod HTML lub JavaScript.

W praktyce oznacza to możliwość przeniesienia niebezpiecznej zawartości z publicznej części sklepu do miejsca, w którym pracownicy przeglądają szczegóły zamówień. Atakujący nie musi mieć dostępu do panelu WordPressa, aby zainicjować zapisanie odpowiednio przygotowanej wartości, chociaż późniejsze uruchomienie kodu zależy od przejścia przez podatną ścieżkę przetwarzania i wyświetlenia danych. To właśnie odróżnia omawiany problem od zwykłego błędu w formularzu, który powoduje jedynie nieprawidłowe zapisanie informacji o dostawie. W przypadku CVE-2026-96669 niebezpieczna zawartość może zostać zachowana wraz z zamówieniem, a następnie odtworzona w interfejsie używanym przez obsługę restauracji. Wordfence nie wskazuje dla tej podatności dodatkowego warunku polegającego na wyłączeniu opcji Enable Checkout Service Fields, dlatego nie należy zakładać, że zmiana tego ustawienia usuwa zagrożenie związane z oboma CVE.

Jak działa atak Stored XSS w systemie zamówień WooCommerce?

Obie podatności Food Store należą do kategorii Stored Cross-Site Scripting, czyli zapisanego ataku XSS, w którym złośliwa zawartość zostaje najpierw umieszczona w aplikacji, a dopiero później wykonana w przeglądarce osoby otwierającej podatną stronę. W odróżnieniu od niektórych ataków wymagających bezpośredniego przekonania ofiary do otwarcia specjalnego odnośnika, zapisany XSS może wykorzystywać naturalny sposób pracy z systemem, na przykład przeglądanie nowych zamówień w panelu administracyjnym. Jeżeli złośliwa wartość zostanie zapisana w metadanych zamówienia, pracownik może zetknąć się z nią podczas zwykłej obsługi sprzedaży, bez świadomości, że dane zawierają niebezpieczne instrukcje. Gdy aplikacja wyświetla taki fragment bez właściwego kodowania znaków, przeglądarka może potraktować go jako aktywny kod zamiast zwykłej informacji tekstowej. Właśnie dlatego programy obsługujące dane pochodzące od klientów muszą zabezpieczać zarówno moment ich przyjmowania, jak i późniejsze wyświetlanie w panelu administracyjnym.

W przypadku WooCommerce dodatkowym czynnikiem ryzyka jest to, że zamówienia są często obsługiwane przez osoby posiadające uprawnienia do wykonywania operacji sprzedażowych i przeglądania informacji o klientach. Złośliwy JavaScript uruchomiony w przeglądarce takiego użytkownika działa w kontekście odwiedzanej witryny, co może umożliwiać wykonywanie działań dostępnych w jego sesji, jeżeli pozostałe zabezpieczenia aplikacji na to pozwalają. Nie jest to jednak równoznaczne z bezpośrednim wykonaniem kodu PHP na serwerze ani automatycznym uzyskaniem pełnych uprawnień administratora. Zakres potencjalnych skutków zależy od roli zalogowanego użytkownika, dostępnych funkcji, sposobu ochrony sesji i dodatkowych mechanizmów bezpieczeństwa. Pomimo tych ograniczeń zapisany XSS w panelu obsługi zamówień jest poważnym zagrożeniem, ponieważ może występować w miejscu regularnie odwiedzanym przez pracowników sklepu.

Jakie mogą być konsekwencje uruchomienia złośliwego JavaScript w panelu zamówień?

Najbardziej niebezpieczne scenariusze związane z podatnościami XSS obejmują wykonywanie nieautoryzowanych operacji w kontekście zalogowanego pracownika oraz próby odczytywania informacji dostępnych w jego przeglądarce. W zależności od uprawnień użytkownika i zabezpieczeń panelu administracyjnego złośliwy skrypt może próbować uzyskać dostęp do danych wyświetlanych na stronie, wysyłać żądania do funkcji WordPressa lub manipulować zawartością interfejsu. Jeżeli atak trafi na konto administratora, potencjalny zakres dostępnych operacji może być większy niż w przypadku pracownika mającego wyłącznie ograniczone uprawnienia do obsługi zamówień. Możliwe konsekwencje obejmują również próby przekierowywania użytkowników, podmieniania informacji prezentowanych w panelu lub wykonywania działań, których osoba obsługująca sklep nie zamierzała uruchamiać. Są to jednak potencjalne następstwa skutecznego ataku XSS, a nie potwierdzone przypadki wykorzystania CVE-2026-116622 lub CVE-2026-96669 w rzeczywistych włamaniach.

Dla restauracji prowadzącej sprzedaż internetową nawet częściowa utrata kontroli nad systemem zamówień może stanowić poważny problem organizacyjny. Panel WooCommerce może zawierać imiona i nazwiska klientów, numery telefonów, adresy dostaw, informacje o zamówionych produktach oraz uwagi potrzebne do realizacji sprzedaży. Jeżeli osoba nieuprawniona uzyska dostęp do takich informacji poprzez skutecznie wykorzystany skrypt, może dojść do naruszenia poufności danych osobowych i utraty zaufania klientów. W bardziej zaawansowanych scenariuszach cyberprzestępca mógłby próbować wykorzystać dostępne uprawnienia do dalszej ingerencji w funkcjonowanie aplikacji, na przykład poprzez modyfikowanie ustawień lub wykonywanie nieautoryzowanych żądań. Nie ma jednak dowodów, że opisane podatności pozwalają bezpośrednio przechwytywać numery kart płatniczych, omijać autoryzację płatności czy automatycznie przejmować serwer WooCommerce.

Które wersje i konfiguracje Food Store są zagrożone?

Obie podatności zostały potwierdzone w Food Store – Online Food Delivery & Pickup we wszystkich wersjach do 1.5.5 włącznie, a więc również w ostatnim wydaniu wymienianym w oficjalnym katalogu WordPressa na dzień 30 października 2026 roku. CVE-2026-116622 dotyczy podatnego sposobu obsługi wartości service_time przy jednoczesnym włączeniu obsługi odbioru lub dostawy oraz wyłączeniu pól usługi na stronie checkout. CVE-2026-96669 związane jest natomiast z przenoszeniem wartości service_type przez mechanizm cookie do metadanych zamówienia i jej późniejszym wyświetlaniem bez właściwego zabezpieczenia. Są to dwa niezależne błędy, dlatego ograniczenie jednego scenariusza nie musi automatycznie eliminować drugiego. Administratorzy powinni traktować instalację podatnej wersji Food Store jako wymagającą pilnej interwencji, nawet jeśli nie stwierdzili żadnych problemów podczas normalnej obsługi zamówień.

Podatności nie dotyczą całej platformy WooCommerce i nie oznaczają, że każdy sklep umożliwiający zamówienia z dostawą jest zagrożony. Rozszerzenia wykorzystujące własne mechanizmy wyboru terminu dostawy lub odbioru mogą mieć zupełnie inną implementację i nie są automatycznie objęte wskazanymi numerami CVE. Nie należy również utożsamiać Food Store z innymi wtyczkami do obsługi restauracji, nawet jeśli ich nazwy i funkcjonalności są podobne. Aby ustalić, czy konkretna witryna jest zagrożona, trzeba sprawdzić nazwę producenta, identyfikator rozszerzenia oraz numer jego wersji w panelu WordPressa. W tym przypadku podatna wtyczka występuje pod nazwą Food Store – Online Food Delivery & Pickup, a jej identyfikator katalogowy to food-store.

Dlaczego brak aktualizacji bezpieczeństwa jest poważnym problemem?

Największą trudnością dla administratorów korzystających z Food Store jest brak potwierdzonej poprawionej wersji, która usuwałaby obie opisane podatności. Wordfence oznacza zarówno CVE-2026-116622, jak i CVE-2026-96669 jako niezałatane, wskazując, że nie jest znane oficjalne wydanie zawierające odpowiednie poprawki. Ostatnia dostępna wersja 1.5.5 nadal znajduje się w zakresie wersji podatnych, dlatego jej ponowna instalacja nie rozwiązuje problemu. Należy również pamiętać, że aktualizacja samego WordPressa, WooCommerce czy PHP nie usuwa automatycznie błędów występujących w odrębnym rozszerzeniu obsługującym zamówienia. Dopóki nie zostanie udostępniona i zweryfikowana skuteczna poprawka, administrator musi ograniczać ryzyko innymi metodami lub zrezygnować z wykorzystywania podatnego komponentu.

Dodatkowo oficjalny katalog WordPress.org informuje, że Food Store został tymczasowo wycofany z publicznego udostępniania 23 października 2026 roku, czyli przed ujawnieniem obu październikowych podatności. Wtyczka pozostaje niedostępna do pobrania w związku z trwającym przeglądem, ale oficjalny komunikat katalogu nie wskazuje jednoznacznie, że przyczyną tej decyzji były właśnie CVE-2026-116622 i CVE-2026-96669. Nie można więc przedstawiać wycofania jako potwierdzonej reakcji na obie luki, choć jest to dodatkowy sygnał wymagający uwagi właścicieli sklepów. Usunięcie rozszerzenia z katalogu WordPress.org nie powoduje automatycznego wyłączenia jego wcześniej zainstalowanych kopii, dlatego sklepy mogą nadal działać na podatnej wersji. Administrator musi samodzielnie sprawdzić stan swojej instalacji i zdecydować o bezpiecznym sposobie zastąpienia lub odłączenia rozszerzenia.

Czy CVE-2026-116622 i CVE-2026-96669 są już aktywnie wykorzystywane?

Na 30 października 2026 roku w publicznych zgłoszeniach Wordfence dotyczących obu podatności nie przedstawiono potwierdzonej kampanii ataków ani danych o liczbie sklepów, w których rzeczywiście doszło do skutecznego wykorzystania błędów. Nie opublikowano również wiarygodnych informacji pozwalających ustalić, czy podatności zostały wykorzystane do przejmowania kont administratorów lub kradzieży danych klientów. Nie oznacza to, że zagrożenia można zignorować, ponieważ techniczny mechanizm obu podatności został już opisany publicznie, a atakujący nie potrzebuje konta administracyjnego do zainicjowania wykorzystania podatnego procesu. Wysoka ocena CVSS wskazuje na potencjalną powagę błędów, ale nie jest równoznaczna z potwierdzeniem ich aktywnego wykorzystywania. Z perspektywy właściciela sklepu najważniejsze jest obecnie ograniczenie dostępności podatnych mechanizmów i zabezpieczenie danych przetwarzanych podczas obsługi zamówień.

Jak zabezpieczyć sklep WooCommerce korzystający z Food Store?

Najbezpieczniejszym rozwiązaniem w przypadku aktywnej instalacji Food Store 1.5.5 lub starszej jest wyłączenie podatnej wtyczki do czasu udostępnienia sprawdzonej poprawki albo zastąpienie jej innym, aktualnie utrzymywanym rozszerzeniem. W przypadku restauracji, której sprzedaż internetowa jest uzależniona od Food Store, operację należy przygotować tak, aby zachować możliwość przyjmowania zamówień przez bezpieczny alternatywny mechanizm. WooCommerce posiada własne funkcje produktów, koszyka, finalizacji zamówienia i płatności, dlatego część podstawowych procesów sprzedażowych można obsługiwać bez dodatkowego interfejsu Food Store. Zmiana sposobu zamawiania może wymagać dostosowania stron produktów, informacji o dostawie oraz ustawień checkout, ale nie powinna prowadzić do utraty wcześniej zapisanych zamówień. Przed wprowadzaniem zmian należy wykonać kopię zapasową bazy danych i plików aplikacji oraz sprawdzić, które funkcje sklepu zależą od wyłączanego rozszerzenia.

Administratorzy, którzy nie mogą natychmiast zrezygnować z Food Store, powinni przynajmniej ograniczyć możliwość wykorzystania opisanych błędów do czasu przeprowadzenia migracji. W przypadku CVE-2026-116622 należy zweryfikować ustawienia odpowiedzialne za obsługę dostawy i odbioru oraz pól usługi na stronie zamówienia, ponieważ ich określona kombinacja jest warunkiem wykorzystania tej podatności. Zmiana konfiguracji może ograniczyć jeden ze scenariuszy ataku, ale nie została potwierdzona jako rozwiązanie obu luk, a szczególnie CVE-2026-96669. Dodatkową ochronę może zapewniać zapora aplikacyjna WAF wyposażona w reguły wykrywające i blokujące znane próby wykorzystania podatności XSS, o ile konkretna reguła rzeczywiście obejmuje podatny mechanizm. Nie należy jednak zakładać, że ogólna ochrona antyspamowa, CAPTCHA lub standardowe ograniczenie liczby prób logowania skutecznie blokują ataki wykorzystujące parametry zamówienia.

Jak sprawdzić, czy w zamówieniach znajduje się złośliwy kod?

Jeżeli sklep korzystał z podatnej wersji Food Store, warto przeprowadzić kontrolę zamówień zapisanych w okresie poprzedzającym aktualne ostrzeżenia oraz przeanalizować nietypowe zdarzenia w panelu administracyjnym. Szczególną uwagę powinny zwrócić nieprawidłowe wartości związane z typem realizacji zamówienia i godziną odbioru, zwłaszcza jeżeli zamiast zwykłego tekstu zawierają fragmenty znaczników HTML, ciągi przypominające kod JavaScript albo inne niezrozumiałe dane. Istotne są również przypadki, w których otwarcie szczegółów zamówienia powoduje nietypowe zachowanie panelu, przekierowanie przeglądarki lub pojawienie się elementów, których administrator nie wprowadzał. Należy jednak pamiętać, że brak widocznych objawów nie stanowi dowodu, iż nie doszło do próby ataku, ponieważ złośliwy skrypt może działać bez wyświetlania komunikatów. Podejrzanych danych nie należy testować przez otwieranie zamówień w zwykłej sesji administracyjnej, ponieważ samo wyświetlenie podatnej zawartości może uruchomić zapisany kod.

Bezpieczniejszym podejściem jest analiza metadanych zamówień w sposób, który nie powoduje interpretowania ich zawartości jako aktywnego HTML lub JavaScript. Administrator techniczny może sprawdzić odpowiednie rekordy bezpośrednio w bazie danych, korzystając z narzędzi diagnostycznych i odpowiednio zabezpieczonego środowiska testowego. Warto przeanalizować również dzienniki serwera WWW pod kątem nietypowych żądań kierowanych do procesu składania zamówień oraz powtarzających się prób modyfikowania parametrów związanych z rodzajem usługi. Nie wszystkie serwery zapisują pełną treść przesyłanych żądań, dlatego analiza logów może nie pozwolić na jednoznaczne potwierdzenie lub wykluczenie wcześniejszego ataku. Jeżeli istnieją poważne przesłanki naruszenia bezpieczeństwa, należy zabezpieczyć dostępne dowody techniczne przed modyfikowaniem lub usuwaniem podejrzanych rekordów.

Co zrobić w przypadku podejrzenia przejęcia panelu sklepu?

Jeżeli administrator stwierdzi obecność złośliwego JavaScript w danych zamówienia albo zauważy nieautoryzowane działania w panelu WordPressa, powinien potraktować sytuację jako potencjalny incydent bezpieczeństwa wymagający dokładniejszej analizy. Pierwszym krokiem jest ograniczenie dalszej ekspozycji na podatny mechanizm, zabezpieczenie kopii dostępnych logów oraz ustalenie, które konta użytkowników mogły otworzyć zmodyfikowaną zawartość. Następnie należy sprawdzić historię zmian w konfiguracji sklepu, obecność nieznanych kont administratorów, modyfikacje wtyczek i motywów oraz ewentualne nieautoryzowane operacje wykonywane za pośrednictwem dostępnych integracji. W przypadku potwierdzonego przejęcia konta lub podejrzenia ujawnienia danych uwierzytelniających konieczna może być zmiana haseł, unieważnienie aktywnych sesji i wymiana odpowiednich kluczy API. Zakres działań powinien zależeć od rzeczywistych ustaleń, ponieważ sama obecność podatnej wtyczki nie jest jeszcze dowodem skutecznego włamania.

Jeżeli incydent obejmuje dane osobowe klientów, właściciel sklepu powinien również ocenić skutki naruszenia i obowiązki wynikające z przepisów RODO. W przypadku naruszenia stwarzającego ryzyko dla praw lub wolności osób fizycznych administrator danych ma zasadniczo obowiązek zgłoszenia go właściwemu organowi nadzorczemu w ciągu 72 godzin od stwierdzenia, chyba że zachodzą przesłanki wyłączające taki obowiązek. Jeżeli ryzyko dla klientów jest wysokie, konieczne może być także poinformowanie osób, których dane dotyczą. Nie każdy incydent XSS prowadzi jednak do ujawnienia danych osobowych, dlatego decyzje dotyczące zgłoszeń powinny wynikać z przeprowadzonej analizy technicznej i prawnej. Po usunięciu zagrożenia należy ponownie sprawdzić integralność plików aplikacji, uprawnienia użytkowników oraz działanie podstawowych funkcji sprzedażowych, aby uniknąć dalszych zakłóceń w przyjmowaniu zamówień.

Co oznaczają dwie podatności Food Store dla właścicieli sklepów internetowych?

Ujawnienie CVE-2026-116622 i CVE-2026-96669 pokazuje, że podatności występujące w mechanizmach przyjmowania i obsługi zamówień mogą stanowić bezpośrednie zagrożenie dla bezpieczeństwa całego sklepu internetowego. W obu przypadkach problem wynika z niewystarczającego zabezpieczania danych pochodzących z publicznej części witryny, które następnie mogą zostać wykorzystane do uruchomienia niepożądanego kodu w przeglądarce osoby przeglądającej podatną zawartość. Szczególnie istotne jest to, że oba błędy można zainicjować bez dostępu do konta administratora, a do 30 października 2026 roku nie potwierdzono dostępności poprawionego wydania Food Store. Sytuację dodatkowo komplikuje wcześniejsze, tymczasowe wycofanie rozszerzenia z oficjalnego katalogu WordPress.org, które utrudnia korzystanie ze standardowej ścieżki aktualizacji. Dla restauracji i sklepów gastronomicznych korzystających z Food Store najważniejsze jest obecnie wyłączenie podatnego komponentu lub zastąpienie go bezpieczniejszym rozwiązaniem, a także sprawdzenie danych zamówień i kont użytkowników posiadających dostęp do panelu.

Nie ma obecnie potwierdzonych informacji o masowej kampanii wykorzystującej obie podatności, dlatego nie należy utożsamiać wykrycia błędów z faktycznym przejęciem wszystkich instalacji Food Store. Jednocześnie brak publicznych doniesień o skutecznych atakach nie stanowi wystarczającego powodu do dalszego używania niezałatanego rozszerzenia w środowisku produkcyjnym. Sklepy internetowe przetwarzają dane klientów i zamówień, a uprawnienia pracowników obsługujących sprzedaż mogą zapewniać dostęp do informacji o istotnym znaczeniu dla działalności przedsiębiorstwa. Dlatego bezpieczeństwo formularzy i mechanizmów checkout powinno być traktowane równie poważnie jak zabezpieczenia panelu logowania czy aktualizacje operatorów płatności. W przypadku Food Store priorytetem pozostaje ograniczenie ryzyka związanego z CVE-2026-116622 i CVE-2026-96669, weryfikacja dotychczasowych zamówień oraz rezygnacja z podatnej wersji do czasu udostępnienia i potwierdzenia skutecznej poprawki.

Źródła

Wordfence Intelligence – CVE-2026-116622, Stored Cross-Site Scripting przez parametr service_time, publikacja 29 października 2026 roku

Wordfence Intelligence – CVE-2026-96669, Stored Cross-Site Scripting przez service_type cookie, publikacja 28 października 2026 roku

WordPress.org – Food Store – Online Food Delivery & Pickup, wersja 1.5.5 i informacja o czasowym wycofaniu wtyczki z katalogu