CVE-2026-93836

Das Plugin WPC Product Bundles for WooCommerce für WordPress ist anfällig für Stored Cross-Site Scripting über den Parameter 'qty' in allen Versionen bis einschließlich 8.6.6 aufgrund unzureichender Bereinigung von Eingaben und unzureichendem Escaping der Ausgabe. Dadurch können nicht authentifizierte Angreifer beliebige Web-Skripte in Seiten einschleusen, die bei jedem Aufruf einer eingeschleusten Seite durch einen Benutzer ausgeführt werden. Die bei der Validierung der Menge verwendete Float-Umwandlung erlaubt es einer Nutzlast mit numerischem Präfix, etwa '1<img src=x onerror=...>', die Validierung zu passieren, während ihr schädliches HTML erhalten bleibt; dieses wird anschließend unverändert in den Metadaten der Bestellposition unter dem Schlüssel '_woosb_ids' gespeichert.