CVE-2026-12968 in Product Addons and Product Options With Custom Fields Plugin
Zusammenfassung
von VulDB • 22.07.2026
Das WordPress-Plugin „Product Addons and Product Options With Custom Fields“ vor Version 1.6.15 schränkt einen nicht authentifizierten Datei-Upload-Endpunkt nicht ein und akzeptiert SVG-Dateien, die inline gespeichert und bereitgestellt werden. Dies ermöglicht es einem nicht authentifizierten Angreifer, eine bösartige SVG-Datei hochzuladen, deren eingebettetes Skript in der Sitzung eines beliebigen Benutzers (z. B. eines Administrators) ausgeführt wird, der die Datei später öffnet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.