CVE-2026-93836

Le plugin WPC Product Bundles for WooCommerce pour WordPress est vulnérable à un Cross-Site Scripting stocké via le paramètre 'qty' dans toutes les versions jusqu'à la version 8.6.6 incluse, en raison d'un assainissement insuffisant des entrées et d'un échappement insuffisant des sorties. Cela permet à des attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accédera à une page infectée. Le cast en float utilisé lors de la validation de la quantité permet à une charge utile à préfixe numérique, comme '1<img src=x onerror=...>', de passer la validation tout en conservant son HTML malveillant, lequel est ensuite stocké tel quel dans les métadonnées de l'élément de commande sous la clé '_woosb_ids'.