CVE-2026-17581

Nome do Software Vulnerável e Versões Afetadas WCPOS – Point of Sale (POS) plugin for WooCommerce versões anteriores a 1.9.15

Descrição Atacantes autenticados com nível de acesso de Gerente de Loja (Shop Manager) ou superior podem realizar a injeção de código através do mecanismo de modelo 'thermal'. O problema ocorre porque o Receipt Renderer Factory despacha modelos que utilizam o mecanismo 'thermal' para o Legacy Php Renderer em vez de um renderizador específico para thermal que seja seguro. Isso permite que um atacante injete código PHP arbitrário em uma postagem de modelo, que é posteriormente gravada em um arquivo temporário e executada via função include(), resultando na execução remota de código no servidor. Este processo é protegido por um nonce wcpos template settings e por uma verificação de capacidade manage woocommerce pos.

Recomendações Atualize para uma versão posterior à 1.9.14.