CVE-2026-93836: Stored XSS в WPC Product Bundles for WooCommerce до версии 8.6.6 включительно

В экосистеме WordPress продолжает расти число уязвимостей, затрагивающих популярные расширения для электронной коммерции. Очередной инцидент касается плагина WPC Product Bundles for WooCommerce от разработчика wpclever — инструмента, позволяющего создавать наборы товаров и продавать их как единый продукт. Уязвимость получила идентификатор CVE-2026-93836 и оценку 7.2 по шкале CVSS, что соответствует высокому уровню опасности.

Подробности

Проблема затрагивает все версии плагина WPC Product Bundles for WooCommerce вплоть до 8.6.6 включительно. Тип уязвимости — хранимый межсайтовый скриптинг (Stored Cross-Site Scripting), возникающий из-за недостаточной очистки входных данных и экранирования вывода. Вектор атаки — параметр 'qty' (количество товара в наборе). При валидации значения применяется приведение к типу float, из-за чего вредоносная полезная нагрузка с числовым префиксом, например '1', успешно проходит проверку, сохраняя при этом HTML-разметку. В результате произвольный скрипт беспрепятственно записывается в метаданные позиции заказа по ключу '_woosb_ids' и впоследствии выполняется в браузере любого пользователя, открывшего скомпрометированную страницу. Ключевая особенность CVE-2026-93836 — отсутствие необходимости в аутентификации. Злоумышленнику достаточно отправить специально сформированный запрос, чтобы внедрить скрипт в данные заказа. Это существенно повышает риск, поскольку снижает порог входа для эксплуатации и позволяет проводить массовые автоматизированные атаки на сайты, использующие уязвимый плагин. Последствия успешной эксплуатации включают кражу сессионных cookie, перенаправление посетителей на фишинговые ресурсы, подмену содержимого страниц и выполнение действий от имени администратора сайта. Особенно опасен такой сценарий для интернет-магазинов, где обрабатываются платёжные и персональные данные клиентов.

Что делать

Главная рекомендация — как можно скорее обновить плагин WPC Product Bundles for WooCommerce до версии, в которой устранена уязвимость. Если разработчик ещё не выпустил патч, следует рассмотреть временные меры: - ограничить или временно отключить функциональность наборов товаров, если она не критична для бизнеса; - настроить фильтрацию и дополнительную валидацию параметра 'qty' на уровне WAF (например, блокировать значения, содержащие HTML-теги или символы '<' и '>'); - включить строгую политику Content Security Policy (CSP) для снижения риска выполнения внедрённых скриптов; - регулярно проверять журналы заказов и метаданные позиций на предмет подозрительных значений; - провести аудит сайта на наличие уже внедрённых вредоносных скриптов. Важно также следить за официальными уведомлениями от вендора wpclever и подписаться на обновления баз уязвимостей, чтобы не пропустить выход исправления. Итог: CVE-2026-93836 — серьёзная уязвимость, требующая оперативного реагирования. Неаутентифицированный Stored XSS в популярном WooCommerce-плагине создаёт прямую угрозу как для владельцев магазинов, так и для их клиентов. Приоритет действий — обновление до исправленной версии и усиление контроля входных данных.

Источник: CVE Project (cvelistV5)