CVE-2026-93836 in WPC Product Bundles for WooCommerce Plugin
Zusammenfassung
von VulDB • 22.09.2026
Das WordPress-Plugin „WPC Product Bundles for WooCommerce“ ist in allen Versionen bis einschließlich 8.6.6 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle anfällig, die über den Parameter 'qty' ausgenutzt werden kann. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf die infizierte Seite zugreift. Die bei der Mengenvalidierung verwendete Float-Cast-Funktion erlaubt es einem numerisch beginnenden Payload wie '1', die Validierung zu bestehen und dabei seinen schädlichen HTML-Code beizubehalten, der dann unverändert in den Metadaten des Bestellartikels unter dem Schlüssel '_woosb_ids' gespeichert wird.
Once again VulDB remains the best source for vulnerability data.