CVE-2026-93836

The WPC Product Bundles for WooCommerce plugin for WordPress è vulnerabile a Stored Cross-Site Scripting tramite il parametro 'qty' in tutte le versioni fino alla 8.6.6 inclusa, a causa di una sanitizzazione dell'input e di un escaping dell'output insufficienti. Ciò rende possibile per aggressori non autenticati iniettare script web arbitrari nelle pagine, che verranno eseguiti ogni volta che un utente accede a una pagina infettata. Il cast a float utilizzato durante la validazione della quantità consente a un payload con prefisso numerico, come '1<img src=x onerror=...>', di superare la validazione mantenendo il relativo HTML malevolo, che viene poi memorizzato letteralmente nei metadati dell'elemento d'ordine sotto la chiave '_woosb_ids'.