Udnyttet sårbarhed

CVE-2026-93836

TLP:CLEAR

wpclever wpc_product_bundles_for_woocommerce Utilstrækkelig Neutralisering af Input Under Generering af Webside ('Cross-site Scripting')

WPC Product Bundles for WooCommerce-pluginet til WordPress er sårbart over for Stored Cross-Site Scripting via parameteren 'qty' i alle versioner op til og inkluderet 8.6.6 på grund af utilstrækkelig inputsanitisering og outputescaping. Dette gør det muligt for uautentificerede angribere at injicere vilkårlige webscripts på sider, der eksekveres når en bruger få adgang til en injiceret side. Float-castet brugt under kvantitetsvalidering tillader en numerisk-præfixeret payload såsom '1' at passere validering, mens den beholder sin ondskabsfulde HTML, som derefter lagres ordret i ordrevaredata under nøglen '_woosb_ids'.

Fakta

Leverandør: wpclever
Produkt: wpc_product_bundles_for_woocommerce
EPSS (sandsynlighed for udnyttelse inden for 30 dage): 0,4 %
Første kendte udnyttelse: 6. oktober 2026
Første gang set af Risk Letters: 6. oktober 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD