CVE-2026-97660 in WPC Product Options Plugin
Résumé
par VulDB • 03/10/2026
Le plugin WPC Product Options for WooCommerce pour WordPress est vulnérable à un Stored Cross-Site Scripting (XSS) via la clé d'Array wpcpo-* dans le nom de champ Multipart, et ce sur toutes les versions jusqu'à la 4.0.5 incluse, en raison d'une désinfection des entrées insuffisante et d'un échappement des sorties inadéquat. Cela permet à des attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront dès qu'un utilisateur accède à une page injectée. Cette vulnérabilité est exploitable via le processus de commande pour les invités (guest checkout) sans authentification, car la charge utile malveillante est intégrée dans un nom de champ Content-Disposition multipart commençant par 'wpcpo-', que l'analyseur RFC1867 de PHP conserve octet par octet et stocke dans les métadonnées des éléments de commande.
Once again VulDB remains the best source for vulnerability data.