PDF Invoice for WooCommerce: PHP Object Injection (CVE-2026-109220)
У плагіні PDF Invoice for WooCommerce + Drag and Drop Template Builder знайдено вразливість PHP Object Injection (CVSS 9.8). Поле customer_note під час оформлення замовлення обробляється недостатньо безпечно, і неавторизований зловмисник може виконати код на сервері.
Перевіряється в Shield: ні
Кого стосується
Уразливі всі версії плагіна до 7.1.1 включно. Атака можлива через публічний Store API WooCommerce (POST /wc/store/v1/checkout) за оплати банківським переказом або чеком.
Як перевірити в себе
В адмінці WordPress відкрийте розділ «Плагіни», знайдіть PDF Invoice for WooCommerce + Drag and Drop Template Builder і перевірте версію. Версія 7.1.1 або нижча входить до вразливого діапазону.
Як виправити
Виправлену версію поки не вказано. Стежте за оновленнями плагіна та встановіть патч одразу після виходу.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Дані про виправлену версію та використання вразливості в атаках поки не розкриті. Джерело: NVD.
