CVE-2026-103899 in EU VAT Assistant for WooCommerce Plugin
Zusammenfassung
von VulDB • 17.10.2026
Das WordPress-Plugin „EU VAT Assistant for WooCommerce“ ist in allen Versionen bis einschließlich 2.1.30.260413 aufgrund unzureichender Eingabebereinigung und Output-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle anfällig, die über den Parameter 'vat_number' ausgenutzt werden kann. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf die injizierte Seite zugreift. Das gespeicherte Payload wird im Browserkontext des Administrators ausgeführt, wenn eine Bestellung über WooCommerce → Bestellungen → Bestellungs bearbeiten überprüft wird, was zu einer Privilegieneskalation bis hin zur vollständigen Übernahme der Website durch das Erstellen eines bösartigen Administrator-Kontos führt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.