CVE-2026-93836 in WPC Product Bundles for WooCommerce Plugin
要約
〜によって VulDB • 2026年09月22日
WordPress用WooCommerceプラグイン「WPC Product Bundles for WooCommerce」には、8.6.6以前の全バージョンにおいて、入力値のサニタイズおよび出力エスケープの不十分さにより、Stored Cross-Site Scripting（XSS）の脆弱性が存在します。これにより、認証されていない攻撃者が任意のWebスクリプトをページに注入でき、ユーザーがその注入されたページにアクセスするたびにスクリプトが実行されます。数量検証時に使用されるfloatキャストにより、「1」のような数値プレフィックス付きペイロードは検証を通過しながらも悪意のあるHTMLを保持し、その後 '_woosb_ids' キーの下にある注文メタデータ内にそのまま保存されます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.