CVE-2026-93836

WysokieCVSS 7.2

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 22/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka WPC Product Bundles for WooCommerce dla WordPressa jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez parametr 'qty' we wszystkich wersjach do 8.6.6 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Ocena ryzyka

Złośliwy skrypt może zostać wykonany w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przekierowań lub innych działań w kontekście witryny.

Rekomendacja

Zaktualizuj wtyczkę WPC Product Bundles for WooCommerce do wersji nowszej niż 8.6.6.

Inne podatności w WPC Product Bundles for WooCommerce

CVE-2026-48883Wysokie
W produktach WPC Product Bundles dla WooCommerce w wersjach do 8.5.3 występuje nieautoryzowany błąd kontroli dostępu.

Oryginalny opis (angielski, źródło NVD)

The WPC Product Bundles for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'qty' parameter in all versions up to, and including, 8.6.6 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The float cast used during quantity validation allows a numeric-prefixed payload such as '1<img src=x onerror=...>' to pass validation while retaining its malicious HTML, which is then stored verbatim in order item metadata under the '_woosb_ids' key.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS