Oolongeya

A função `js output()` dentro de `http.cookies.Morsel` retorna um snippet `<script>` inline que apenas escapa aspas duplas para o contexto de string JavaScript. Ela falha em neutralizar a sequência `</script>`, que é sensível ao analisador HTML, permitindo a possibilidade de escape dentro do elemento de script gerado.

O plugin WooCommerce para WordPress não processa corretamente as solicitações em lote, potencialmente permitindo que usuários não autenticados executem ações administrativas em endpoints REST não relacionados à loja. Isso poderia possibilitar a criação de usuários administradores arbitrários por meio de um ataque de Falsificação de Solicitação Entre Sites (CSRF).