CVE-2026-103889

Nome do Software Vulnerável e Versões Afetadas 3D Product configurator for WooCommerce versões anteriores a 2.16.3

Descrição A Execução Remota de Código é possível devido à ausência de verificações de autenticação e nonce no manipulador wp loaded. O problema ocorre porque o parâmetro POST xpv image não é sanitizado antes de ser exibido sem escape em um modelo HTML renderizado pelo Dompdf com a execução de PHP habilitada. Isso permite que invasores não autenticados executem código arbitrário no servidor por meio de uma única requisição POST para qualquer URL do site.

Recomendações Atualize para uma versão posterior à 2.16.2. Evite usar o parâmetro xpv image até que o software seja atualizado.