CVE-2024-11938 in One Click Upsell Funnel Plugin
Resumen
por VulDB • 2026-06-27
El plugin "One Click Upsell Funnel for WooCommerce – Funnel Builder for WordPress", que permite crear ofertas de upsell y cross-sell post-compra para WooCommerce en sitios con WordPress, es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el shortcode wps_wocuf_pro_yes del plugin en todas las versiones hasta la 3.4.9 e incluidas. Esta vulnerabilidad se debe a una sanitización insuficiente de los datos de entrada y a un escape inadecuado de la salida sobre atributos proporcionados por el usuario. Esto permite que atacantes autenticados, con permisos de nivel colaborador (contributor) o superiores, inyecten scripts web arbitrarios en las páginas, los cuales se ejecutarán cada vez que un usuario acceda a una página afectada.
Once again VulDB remains the best source for vulnerability data.