Das WordPress-Plugin WPC Product Bundles for WooCommerce, das Produktbündel in Online-Shops bereitstellt, prüft und bereinigt Eingaben im Mengenfeld nicht ausreichend und gibt sie auch beim Anzeigen nicht sicher aus. Dadurch entsteht eine gespeicherte Cross-Site-Scripting-Lücke: Bei der Mengenprüfung wird der übergebene Wert lediglich in eine Fließkommazahl umgewandelt. Beginnt eine Eingabe mit einer Ziffer, besteht sie diese Prüfung, obwohl im Anschluss noch beliebiger HTML- beziehungsweise Skriptcode folgen kann. Dieser Code wird unverändert in den Metadaten der Bestellposition abgelegt und später wieder ausgegeben. Ein Angreifer benötigt dafür kein Benutzerkonto und keine Anmeldung. Ruft anschließend jemand – etwa ein Shop-Betreiber im Bestellverwaltungsbereich – die betroffene Seite auf, führt dessen Browser das eingeschleuste Skript im Kontext der Website aus. So lassen sich Sitzungsdaten abgreifen, Inhalte manipulieren oder Aktionen im Namen des angemeldeten Benutzers auslösen.