CVE-2026-89100

Nome do Software Vulnerável e Versões Afetadas Payment Plugins for Stripe WooCommerce versões anteriores a 4.0.18

Descrição A sanitização de entrada e a codificação de saída insuficientes permitem que atacantes não autenticados realizem Reflected Cross-Site Scripting (XSS) através do fragmento de URL #response. Isso ocorre quando a função getErrorMessage() retorna uma string de erro bruta do Stripe em vez de uma mensagem segura mapeada, o que acontece se a configuração 'Generic Errors' estiver desmarcada. Isso permite a injeção de scripts web arbitrários que são executados quando um usuário visita a página afetada.

Recomendações Atualize para a versão 4.0.18 ou posterior. Ative a configuração 'Generic Errors' para evitar que a função getErrorMessage() retorne strings de erro brutas.