CVE-2026-107750

Nome do Software Vulnerável e Versões Afetadas PDF Invoices & Packing Slips for WooCommerce versões anteriores a 5.16.5

Descrição Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários através dos parâmetros billing address.first name, billing address.last name, billing address.company e customer note. Esses scripts são executados sempre que um usuário acessa a página afetada. O problema persiste porque a função wp kses(), utilizada para filtrar HTML, é burlada por payloads codificados em entidades que não contêm caracteres de colchetes angulares literais, permitindo que sejam processados e posteriormente rematerializados como scripts ativos.

Recomendações Atualize o PDF Invoices & Packing Slips for WooCommerce para a versão 5.16.5 ou posterior. Restrinja o uso dos parâmetros billing address.first name, billing address.last name, billing address.company e customer note até que a atualização seja aplicada.