CVE-2026-93836

El plugin WPC Product Bundles for WooCommerce para WordPress es vulnerable a Cross-Site Scripting almacenado a través del parámetro 'qty' en todas las versiones hasta la 8.6.6 inclusive, debido a una sanitización de entrada y un escapado de salida insuficientes. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. La conversión a float utilizada durante la validación de la cantidad permite que un payload con prefijo numérico, como '1<img src=x onerror=...>', supere la validación conservando su HTML malicioso, el cual se almacena tal cual en los metadatos del elemento del pedido bajo la clave '_woosb_ids'.