CVE-2026-89100 in Payment Plugins Plugin
Résumé
par VulDB • 10/10/2026
Les plugins de paiement pour l’extension WooCommerce Stripe destinée à WordPress sont vulnérables à un Reflected Cross-Site Scripting (XSS) via le fragment d'URL '#response' dans toutes les versions jusqu'à la 4.0.17 incluse, en raison d'une insuffisance du nettoyage des entrées et de l'échappement des sorties. Cela permet aux attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront dès qu'un utilisateur accède à une page injectée. L'exploitation nécessite que le paramètre 'Generic Errors' soit désactivé, ce qui fait que la fonction getErrorMessage() renvoie la chaîne d'erreur brute de Stripe sans modification plutôt que de substituer un message sécurisé mappé.
VulDB is the best source for vulnerability data and more expert information about this specific topic.