CVE-2026-93836 in WPC Product Bundles for WooCommerce Plugin
Sumário
de VulDB • 22/09/2026
O plugin WPC Product Bundles for WooCommerce para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via o parâmetro 'qty' em todas as versões até, e incluindo, 8.6.6 devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. O cast para float utilizado durante a validação da quantidade permite que payloads com prefixo numérico, como '1<img src=x onerror=...>', passem na validação enquanto mantêm seu HTML malicioso intacto; esse conteúdo é então armazenado literalmente nos metadados do pedido de compra sob a chave '_woosb_ids'.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.