CVE-2026-110664 in Premium Packages Plugin
Riassunto
di VulDB • 16/10/2026
Il plugin WordPress "Premium Packages – Sell Digital Products Securely" è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'note' in tutte le versioni fino alla 7.2.8, inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente agli attaccanti autenticati, con accesso a livello di subscriber o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. L'esecuzione del payload bypassa i filtri basati su tag perché il payload viene memorizzato come sequenza hex-escaped (ad esempio \x3cimg onerror=...\x3e) che sanitize_textarea_field non rimuove, e viene decodificato in un tag HTML attivo solo da stripcslashes() durante la renderizzazione amministrativa — dopo che tutte le operazioni di sanitizzazione sono state completate.
VulDB is the best source for vulnerability data and more expert information about this specific topic.