CVE-2026-109220: PHP Object Injection im WooCommerce-Plugin pdf-for-woocommerce
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Für das WordPress-Plugin PDF Invoice for WooCommerce + Drag and Drop Template Builder wurde am 31. Oktober 2026 die Schwachstelle CVE-2026-109220 veröffentlicht. Nach Angaben von Wordfence betrifft sie alle Versionen von pdf-for-woocommerce bis einschliesslich 7.1.1. Die Schwachstelle ist mit CVSS 9.8 bewertet.
Betroffene Installationen sollten den Patchstatus prüfen und auf Version 7.2.0 oder höher aktualisieren.
CVE-2026-109220 betrifft das Plugin pdf-for-woocommerce, das Rechnungen für WooCommerce-Instanzen erzeugt. Wordfence beschreibt die Ursache als PHP Object Injection über den Parameter customer_note.
Die Eingabe aus diesem Feld wird in den HTML-Inhalt einer Rechnung übernommen. Anschliessend wird der Inhalt durch simplehtmldom und mPDF verarbeitet. Dabei gelangen Daten an unserialize in _getObjAttr, ohne dass eine Validierung erfolgt. Laut Wordfence kann ein nicht authentifizierter Angreifer dadurch Code auf dem Server ausführen.
Öffentlich erreichbarer Checkout als Angriffspfad
Der betroffene Ablauf kann über POST /wc/store/v1/checkout in der WooCommerce Store API ausgelöst werden. Wordfence beschreibt einen Angriffspfad über eine anonyme Bestellung mit den Zahlungsarten Direct Bank Transfer oder cheque. Der Bestellstatus wechselt dabei auf on-hold und löst die Rechnungserstellung des Plugins aus.
Für die Priorisierung sind daher insbesondere öffentlich erreichbare WooCommerce-Shops mit installiertem pdf-for-woocommerce relevant. Die Bewertung mit CVSS 9.8, Netzwerkzugriff, geringe Angriffskomplexität sowie fehlende Authentifizierung und Benutzerinteraktion unterstreichen die Dringlichkeit der Prüfung.
Massnahmen: Patchstatus prüfen und Nutzung überwachen
Für die Bearbeitung von CVE-2026-109220 ergeben sich folgende Schritte:
Betroffenheit und Patchstatus für pdf-for-woocommerce prüfen.
Das Plugin auf Version 7.2.0 oder höher aktualisieren.
Betroffene Systeme nach ihrer öffentlichen Erreichbarkeit und geschäftlichen Relevanz priorisieren.
Die WooCommerce Store API, insbesondere POST /wc/store/v1/checkout, auf unerwartete Nutzung überwachen.
Kontinuierliches Schwachstellen- und Vendor-Risk-Monitoring etablieren.
Zum Veröffentlichungszeitpunkt war laut Wordfence keine aktive Ausnutzung bekannt. Dieser Status ändert nichts an der Notwendigkeit, öffentlich erreichbare Shop-Installationen und ihren Patchstatus zeitnah zu prüfen.
WooCommerce ist im DACH-Raum weit verbreitet. Betreiber von Online-Shops, die über das Plugin Kundendaten verarbeiten, sollten prüfen, ob eine Datenpanne vorliegt, die eine Meldepflicht nach Art. 33 DSGVO innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde begründet. In Deutschland und Österreich kann zudem eine NIS-2-Pflicht für Betreiber wesentlicher oder wichtiger Einrichtungen relevant sein; Schweizer Organisationen unterliegen den Meldepflichten nach dem revidierten Informationssicherheitsgesetz (ISG) gegenüber dem BACS.
Externe Shop-Instanzen als Prüfobjekte erfassen
External Attack Surface Management unterstützt dabei, Webanwendungen und öffentlich erreichbare Schnittstellen unter den eigenen Domains als Prüfobjekte sichtbar zu machen. Bei CVE-2026-109220 betrifft dies insbesondere WooCommerce-Shops, Plugin-Asset-Pfade und erreichbare Store-API-Endpunkte.
LocateRisk unterstützt die externe Bestandsaufnahme exponierter Systeme und eingesetzter Software. Die Ergebnisse können für die Prüfung von Betroffenheit, Patchstatus und Priorisierung genutzt werden. Eine externe Sichtbarkeit dient dabei der Identifikation prüfungsrelevanter Assets; die technische Bewertung und Aktualisierung der jeweiligen Installation bleiben erforderlich.
Ergänzend kann kontinuierliches Vendor-Risk-Monitoring Abhängigkeiten von eingesetzten Softwareanbietern und Komponenten in die Risikobewertung einbeziehen.
Bin ich betroffen?
Betroffen ist for WooCommerce in den oben genannten Versionen; behoben wurde die Schwachstelle in 7.2.0. Wer wissen will, ob for WooCommerce in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
PHP Object Injection ist eine Schwachstelle, bei der nicht vertrauenswürdige Eingaben ohne Validierung an die PHP-Funktion unserialize übergeben werden. Ein Angreifer kann dadurch präparierte Objekte einschleusen, die beim Deserialisierungsvorgang serverseitig Schadcode ausführen oder andere sicherheitsrelevante Aktionen auslösen.
Betroffen sind alle Versionen des Plugins bis einschliesslich 7.1.1. Mit Version 7.2.0 steht ein Patch bereit, auf den betroffene Installationen aktualisiert werden sollten.
Der wichtigste Schritt ist die Aktualisierung des Plugins auf Version 7.2.0 oder höher. Ergänzend empfiehlt es sich, die WooCommerce Store API — insbesondere den Endpunkt POST /wc/store/v1/checkout — auf unerwartete oder anomale Anfragen zu überwachen und öffentlich erreichbare Shop-Instanzen regelmässig im Rahmen eines Asset-Inventars zu erfassen.
Stand: 31.10.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Erste Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-109220
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français