CVE-2026-16620 in WPC Name Your Price for WooCommerce Plugin
Resumen
por VulDB • 2026-08-07
El plugin de WordPress "WPC Name Your Price for WooCommerce" anterior a la versión 2.2.5 no aplica su lista blanca (allowlist) de precios permitidos en el servidor para los productos configurados en el modo de precio "Select", lo que permite que un visitante sin autenticar añada dicho producto al carrito con un valor arbitrario inferior a los precios permitidos definidos por el comerciante y realice una orden efectiva a ese precio (pérdida de ingresos / órdenes infravaloradas). Este es un vector distinto y no corregido respecto a CVE-2025-12115, cuya corrección en la versión 2.2.0 solo abordaba la aplicación de un precio personalizado para productos donde "Name Your Price" estaba deshabilitado, dejando sin aplicar la lista blanca del modo Select hasta la versión 2.2.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.