PDF Invoice for WooCommerce: PHP Object Injection (CVE-2026-109220)
W wtyczce PDF Invoice for WooCommerce + Drag and Drop Template Builder wykryto podatność PHP Object Injection (CVSS 9.8). Pole customer_note podczas składania zamówienia jest przetwarzane niewystarczająco bezpiecznie, więc nieuwierzytelniony atakujący może wykonać kod na serwerze.
Sprawdzane w Shield: nie
Kogo dotyczy
Podatne są wszystkie wersje wtyczki do 7.1.1 włącznie. Atak wykorzystuje publiczne Store API WooCommerce (POST /wc/store/v1/checkout) z płatnością przelewem bankowym lub czekiem.
Jak sprawdzić u siebie
W panelu WordPress otwórz Wtyczki, znajdź PDF Invoice for WooCommerce + Drag and Drop Template Builder i sprawdź wersję. Wersja 7.1.1 lub niższa mieści się w zakresie podatnych.
Jak naprawić
Poprawiona wersja nie została jeszcze podana. Obserwuj aktualizacje wtyczki i zainstaluj poprawkę zaraz po jej wydaniu.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Poprawiona wersja oraz informacje o wykorzystaniu podatności w atakach nie zostały jeszcze ujawnione. Źródło: NVD.
