CVE-2026-109220

PDF Invoice for WooCommerce + Drag and Drop Template Builder <= 7.1.1 - Unauthenticated PHP Object Injection to Remote Code Execution via 'customer_note' Checkout Field

Plugin PDF Invoice for WooCommerce + Drag and Drop Template Builder cho WordPress có thể bị tấn công bởi PHP Object Injection trong tất cả các phiên bản từ 7.1.1 trở xuống thông qua tham số 'customer_note'. Điều này là do việc khử trùng không đủ của trường checkout 'customer_note', được chèn trực tiếp vào HTML của hóa đơn, được entity-decode trở lại thành một thẻ live bởi simplehtmldom, được tái cấu trúc thành bytes gốc bởi mPDF, và được truyền đến unserialize() trong _getObjAttr mà không có kiểm tra. Điều này cho phép kẻ tấn công không xác thực thực thi mã trên máy chủ. Kẻ tấn công không xác thực có thể kích hoạt đường dẫn mã lỗi này trên một cài đặt mặc định bằng cách đặt một hóa đơn WooCommerce không xác thực thông qua API Store công cộng (POST /wc/store/v1/checkout) sử dụng phương thức thanh toán chuyển khoản trực tiếp hoặc bằng tiền mặt, điều này tự động chuyển trạng thái đơn hàng sang 'on-hold' và kích hoạtHooks của plugin tạo hóa đơn.

Bạn tra cứu quá nhanh — thử lại sau 24 giây.

CVSS (NVD)

9.8 · CRITICAL

Loại lỗi (CWE)

CWE-502

EPSS (FIRST)

0.52% khả năng bị khai thác trong 30 ngày