PDF Invoice for WooCommerce: PHP Object Injection (CVE-2026-109220)
В плагине PDF Invoice for WooCommerce + Drag and Drop Template Builder найдена уязвимость PHP Object Injection (CVSS 9.8). Поле customer_note при оформлении заказа обрабатывается недостаточно безопасно, и неавторизованный атакующий может выполнить код на сервере.
Проверяется в Shield: нет
Кого касается
Затронуты все версии плагина до 7.1.1 включительно. Атака возможна через публичный Store API WooCommerce (POST /wc/store/v1/checkout) при оплате банковским переводом или чеком.
Как проверить у себя
В админке WordPress откройте раздел «Плагины», найдите PDF Invoice for WooCommerce + Drag and Drop Template Builder и сверьте версию. Версия 7.1.1 или ниже попадает в затронутый диапазон.
Как исправить
Исправленная версия пока не указана. Следите за обновлениями плагина и установите патч сразу после выхода.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данные об исправленной версии и об использовании уязвимости в атаках пока не раскрыты. Источник: NVD.
