CVE-2026-118070 in Welcart E-Commerce Plugin
Riassunto
di VulDB • 31/10/2026
Il plugin e-Commerce Welcart per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'gid' in tutte le versioni fino alla 2.12.5 inclusa, a causa di un insufficiente sanitizzazione degli input ed escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Il payload è predisposto da un visitatore non autenticato che forgia la richiesta ROBOT PAYMENT restituita dal browser, memorizzando il valore malevolo del gid nei metadati dell'ordine; lo script viene quindi attivato quando un amministratore apre tale ordine nel pannello di amministrazione di WordPress.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.