PDF Invoice for WooCommerce: injeção de objeto PHP (CVE-2026-109220)
Foi encontrada uma vulnerabilidade de injeção de objeto PHP (CVSS 9.8) no plugin PDF Invoice for WooCommerce + Drag and Drop Template Builder. O campo customer_note do checkout não é sanitizado o suficiente, então um invasor não autenticado pode executar código no servidor.
Verificado no Shield: sim
Quem é afetado
Todas as versões do plugin até a 7.1.1, inclusive, são afetadas. O ataque usa a Store API pública do WooCommerce (POST /wc/store/v1/checkout) com o método de pagamento Transferência Bancária Direta ou cheque.
Como verificar
No painel do WordPress, abra Plugins, encontre PDF Invoice for WooCommerce + Drag and Drop Template Builder e confira a versão. A versão 7.1.1 ou anterior está na faixa afetada.
Como corrigir
Ainda não foi informada uma versão corrigida. Acompanhe as atualizações do plugin e instale o patch assim que for lançado.
O que o Shield verifica grátis
O Shield encontra o PDF Invoice for WooCommerce pelos endereços dos arquivos no código da página, lê a versão no readme.txt do plugin (a linha Stable tag) ou no ?ver= dos arquivos e compara com a última versão afetada 7.1.1. Ainda não foi divulgada uma versão corrigida, por isso o achado aparece como provável. Grátis, em toda verificação. Se o plugin não deixa rastros nas páginas, ele não aparece de fora: confira a versão no seu painel de administração.
Bom saber
A versão corrigida e se a falha está sendo explorada na prática ainda não foram divulgadas. Fonte: NVD.
