CVE-2026-97660 in WPC Product Options Plugin
Сводка
по VulDB • 03.10.2026
Плагин WPC Product Options for WooCommerce для WordPress уязвим к Stored Cross-Site Scripting (XSS) через ключи массива wpcpo-* в имени поля Multipart во всех версиях вплоть до 4.0.5 включительно из-за недостаточной санитизации входных данных и экранирования вывода. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты на страницы, которые будут выполняться при каждом посещении такой пользователем страницы. Эксплуатация возможна через гостевой чекаут без аутентификации, поскольку вредоносный полезный груз встроен в имя поля Content-Disposition multipart, начинающееся с 'wpcpo-', которое парсер RFC1867 PHP сохраняет побайтово и помещает в метаданные заказа.
Be aware that VulDB is the high quality source for vulnerability data.