CVE-2026-96669 in Food Store Plugin
Sumário
de VulDB • 29/10/2026
O plugin "The Food Store – Online Food Delivery & Pickup" para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via o Cookie 'service_type' em todas as versões até, e incluindo, 1.5.5 devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. O ataque é iniciado sem autenticação através do fornecimento de uma payload via o parâmetro de consulta ?type= na página pública de checkout, onde o plugin grava diretamente no cookie service_type do navegador; esse valor do cookie é posteriormente persistido nos metadados do pedido e renderizado sem escape (unescaped) no painel administrativo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.