Résumé
généré automatiquement à partir des données NVDLe plugin WordPress PDF Invoice for WooCommerce + Drag and Drop Template Builder, dans toutes ses versions jusqu'à la 7.1.1 incluse, est vulnérable à une injection d'objet PHP (CWE-502). Le champ de commande customer_note est inséré tel quel dans le HTML de la facture, puis transmis à unserialize() dans _getObjAttr sans validation, ce qui permet à un attaquant non authentifié d'exécuter du code sur le serveur, via une commande anonyme sur l'API Store publique. La sévérité est critique (CVSS v3.1 : 9.8).
Description NVD (anglais)
The PDF Invoice for WooCommerce + Drag and Drop Template Builder plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 7.1.1 via the 'customer_note' parameter parameter. This is due to insufficient sanitization of the customer_note checkout field, which is inlined verbatim into invoice HTML, entity-decoded back into a live tag by simplehtmldom, reassembled into raw bytes by mPDF, and passed to unserialize() in _getObjAttr without validation. This makes it possible for unauthenticated attackers to execute code on the server. An unauthenticated attacker can trigger the vulnerable code path on a default install by placing an anonymous WooCommerce checkout via the public Store API (POST /wc/store/v1/checkout) using a Direct Bank Transfer or cheque payment method, which automatically transitions the order to 'on-hold' status and fires the plugin's invoice-generation hook.
EPSS · FIRST.org
0,52 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 44 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 31 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 31 oct. 2026
- Mis à jour
- 31 oct. 2026
- Statut
- Received
- Source
- security@wordfence.com
Faiblesses (CWE)
Références (8)
CVEs similaires
Autres vulnérabilités de type CWE-502
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.