CVE-2026-12968

Nome do Software Vulnerável e Versões Afetadas Product Addons and Product Options With Custom Fields versões anteriores a 1.6.15

Descrição Um endpoint de upload de arquivos não autenticado não restringe o acesso e aceita arquivos SVG que são armazenados e servidos inline. Isso permite que um invasor não autenticado faça o upload de um arquivo SVG malicioso contendo um script incorporado. O script é executado na sessão de qualquer usuário, incluindo administradores, que abrir o arquivo, resultando em Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo.

Recomendações Atualize para a versão 1.6.15 ou posterior.