CVE-2026-93836 in WPC Product Bundles for WooCommerce Plugin
Riassunto
di VulDB • 22/09/2026
Il plugin WPC Product Bundles for WooCommerce per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'qty' in tutte le versioni fino alla 8.6.6 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Il cast float utilizzato durante la convalida della quantità permette a payload prefissati da numeri, come '1<img src=x onerror=...>', di superare la validazione mantenendo il proprio HTML dannoso, che viene quindi memorizzato verbatim nei metadati dell'ordine sotto la chiave '_woosb_ids'.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.