PDF Invoice for WooCommerce: inyección de objetos PHP (CVE-2026-109220)
Se encontró una vulnerabilidad de inyección de objetos PHP (CVSS 9.8) en el plugin PDF Invoice for WooCommerce + Drag and Drop Template Builder. El campo customer_note del checkout no se sanea lo suficiente, por lo que un atacante sin autenticar puede ejecutar código en el servidor.
Revisado en Shield: sí
Quién está afectado
Están afectadas todas las versiones del plugin hasta la 7.1.1 incluida. El ataque usa la API pública WooCommerce Store API (POST /wc/store/v1/checkout) con un método de pago de transferencia bancaria directa o cheque.
Cómo comprobar
En el panel de WordPress, abre Plugins, busca PDF Invoice for WooCommerce + Drag and Drop Template Builder y revisa su versión. La versión 7.1.1 o inferior está dentro del rango afectado.
Cómo corregirlo
Aún no se ha indicado una versión corregida. Está atento a las actualizaciones del plugin e instala el parche en cuanto se publique.
Qué comprueba Shield gratis
Shield detecta PDF Invoice for WooCommerce por las direcciones de sus archivos en el código de la página, lee la versión del readme.txt del plugin (la línea Stable tag) o del ?ver= de sus archivos y la compara con la última versión afectada 7.1.1. Todavía no se ha publicado una versión corregida, así que el hallazgo aparece como probable. Gratis, en cada análisis. Si el plugin no deja rastros en las páginas, no se ve desde fuera: revisa la versión en tu panel de administración.
Conviene saber
Aún no se divulgan la versión corregida ni si la falla se está explotando activamente. Fuente: NVD.
