PDF Invoice for WooCommerce + Drag and Drop Template Builder jusqu’à la version 7.1.1 présente une injection d’objet PHP via `customer_note`, susceptible de permettre l’exécution de code serveur par un attaquant non authentifié. Le chemin vulnérable peut être déclenché sur une installation par défaut lors d’une commande invitée avec certains modes de paiement ; la fiche NVD a été publiée pendant la période.
Source : NVD — CVE-2026-109220
Analyse technique
La note client est incorporée à la facture sans assainissement suffisant ; après décodage et traitement par la bibliothèque de génération PDF, des données atteignent `unserialize()` sans validation. La création d’une commande invitée via l’API Store avec virement bancaire ou chèque peut déclencher la génération de facture.
Impact, versions et correctif
Action recommandée
Mettre à jour le plugin dès qu’une version corrigée est disponible ; examiner les commandes et notes client traitées par la génération de factures.
Sources
Priorisation DFS : P3 · 1 source(s).