CVE-2026-109220

PDF Invoice for WooCommerce + Drag and Drop Template Builder <= 7.1.1 - Unauthenticated PHP Object Injection to Remote Code Execution via…

CVSS 3.1Medium

9.8/ 10.0

Опубликовано

31 октября 2026 г.

Обновлено

31 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновить плагин PDF Invoice for WooCommerce + Drag and Drop Template Builder до версии старше 7.1.1.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Внедрение объектов PHP в плагине PDF Invoice for WooCommerce приводит к удаленному выполнению произвольного кода (RCE).

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Параметр customer_note при оформлении заказа встраивается в HTML счета без санитизации, обрабатывается simplehtmldom и mPDF, после чего передается в unserialize() внутри _getObjAttr без валидации (версии <= 7.1.1).

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Неаутентифицированный атакующий может вызвать цепочку десериализации через анонимный заказ в WooCommerce и получить RCE на целевом сервере.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (8)

www.wordfence.comhttps://www.wordfence.com/threat-intel/vulnerabilities/id/1bc3529c-6161-4b89-8a35-c3a9b7b8c308?source=cve
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/pdf-for-woocommerce/tags/7.1.1/vendor/mpdf/mpdf/src/Mpdf.php#L9105
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/pdf-for-woocommerce/tags/7.1.1/woocommerce/shortcodes.php#L708
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/pdf-for-woocommerce/tags/7.1.1/woocommerce/emails/index.php#L70
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/pdf-for-woocommerce/tags/7.1.1/frontend/index.php#L378
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/pdf-for-woocommerce/tags/7.1.1/libs/HtmlDocument.php#L300
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/pdf-for-woocommerce/tags/7.1.1/libs/HtmlNode.php#L1266
downloads.wordpress.orghttps://downloads.wordpress.org/plugin/pdf-for-woocommerce.7.2.0.zip

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-109220: PDF Invoice for WooCommerce + Drag and Drop Template Builder <= 7.1.1 - Unauthenticated PHP Object Injection to Remote Code Execution via…. URL: https://cve.futuretools.ru/cve/CVE-2026-109220

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_109220,
  title = {{CVE-2026-109220: PDF Invoice for WooCommerce + Drag and Drop Template Builder <= 7.1.1 - Unauthenticated PHP Object Injection to Remote Code Execution via…}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-109220}},
  note = {Оперативный инженерный анализ киберугроз}
}