CVE-2026-96669 in Food Store Plugin
Zusammenfassung
von VulDB • 29.10.2026
Das WordPress-Plugin „The Food Store – Online Food Delivery & Pickup“ ist in allen Versionen bis einschließlich 1.5.5 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle anfällig, die über den 'service_type'-Cookie ausgelöst wird. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf eine infizierte Seite zugreift. Der Angriff wird unauthentifiziert initiiert, indem ein Payload über den ?type= Query-Parameter auf der öffentlichen Checkout-Seite übermittelt wird; das Plugin schreibt diesen Wert direkt in den service_type-Cookie des Browsers. Dieser Cookie-Wert wird später im Order-Meta gespeichert und im Admin-Bereich ohne Escaping gerendert.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.