CVE-2026-97660

Nome do Software Vulnerável e Versões Afetadas WPC Product Options for WooCommerce versões anteriores a 4.0.6

Descrição A sanitização insuficiente de entrada e a falta de escape na saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. O problema ocorre quando um payload malicioso é incorporado em um nome de campo Content-Disposition multipart que começa com wpcpo-. Como o parser RFC1867 do PHP preserva esses nomes de campo byte a byte, o payload é armazenado nos metadados do item do pedido. Isso pode ser explorado durante o checkout de convidado, permitindo a execução de scripts web arbitrários quando um usuário acessa a página afetada.

Recomendações Atualize o WPC Product Options for WooCommerce para a versão 4.0.6 ou posterior.