CVE-2026-87091

Nome do Software Vulnerável e Versões Afetadas Welcart e-Commerce plugin for WordPress versões anteriores a 2.12.3

Description A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Um atacante pode injetar scripts web arbitrários através do endpoint IPN utilizando os parâmetros rel e option. Como o endpoint carece de autenticação, validação de nonce ou verificação de assinatura, as cargas maliciosas são armazenadas e posteriormente executadas quando um administrador visualiza o log de erros de liquidação.

Recommendations Atualize o plugin para a versão 2.12.3 ou posterior. Restrinja o acesso ao endpoint IPN para minimizar o risco de exploração.