CVE-2026-109220

Nome do Software Vulnerável e Versões Afetadas PDF Invoice for WooCommerce + Drag and Drop Template Builder versões anteriores a 7.1.2

Descrição Ocorre Injeção de Objeto PHP devido à sanitização insuficiente do parâmetro customer note. A entrada é inserida no HTML da fatura, decodificada por simplehtmldom, remontada em bytes brutos pelo mPDF e passada para a função unserialize() em getObjAttr() sem validação. Isso permite que invasores não autenticados executem código arbitrário no servidor. O problema pode ser acionado através do endpoint da API pública da loja '/wc/store/v1/checkout' ao realizar um checkout anônimo do WooCommerce usando um método de pagamento por cheque ou Transferência Bancária Direta, o que dispara o gancho de geração de fatura.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro customer note no endpoint '/wc/store/v1/checkout' até que o problema seja resolvido.