CVE-2026-93836

Nome do Software Vulnerável e Versões Afetadas WPC Product Bundles for WooCommerce versões anteriores a 8.6.7

Description Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas que serão executados sempre que um usuário as acessar. O problema surge porque um cast de float usado durante a validação da quantidade permite que payloads com prefixos numéricos, como 1<img src=x onerror=...>, passem pela validação. Esse HTML malicioso é então armazenado nos metadados do item do pedido sob a chave woosb ids através do parâmetro qty.

Recommendations Atualize o WPC Product Bundles for WooCommerce para a versão 8.6.7 ou posterior. Evite usar o parâmetro qty de forma que permita a entrada não validada até que a atualização seja aplicada.