CVE-2026-109220 : injection d'objet PHP dans le plugin WooCommerce pdf-for-woocommerce
Ce texte a été généré par l'intelligence artificielle (IA).Pour le plugin WordPress PDF Invoice for WooCommerce + Drag and Drop Template Builder a été identifiée le 31 octobre 2026 CVE-2026-109220 publiée. Selon Wordfence, elle concerne toutes les versions de pdf-for-woocommerce jusqu'à la version 7.1.1. La vulnérabilité est liée à CVSS 9,8 évalué.
Les installations concernées doivent vérifier leur état de patch et passer à la version 7.2.0 ou supérieure Mettre à jour.
CVE-2026-109220 concerne le plugin pdf-for-woocommerce, qui génère des factures pour les instances WooCommerce. Wordfence décrit la cause comme une injection d'objet PHP via le paramètre customer_note.
Les données de ce champ sont intégrées dans le contenu HTML d'une facture. Ensuite, le contenu est traité par simplehtmldom et mPDF Sans validation, les données parviennent à unserialize dans _getObjAttr, ce qui permet à un attaquant non authentifié d'exécuter du code sur le serveur.
Checkout accessible publiquement comme chemin d'attaque
Le flux concerné peut être accédé via POST /wc/store/v1/checkout être déclenché dans l'API de la boutique WooCommerce. Wordfence décrit un chemin d'attaque via une commande anonyme avec les méthodes de paiement virement bancaire direct ou chèque. L'état de la commande change alors en en attente et déclenche la génération de factures du plugin.
Pour la priorisation, les boutiques WooCommerce accessibles publiquement avec installé sont donc particulièrement pdf-for-woocommerce pertinentes. L'évaluation avec CVSS 9,8, accès réseau, faible complexité d'attaque ainsi que l'absence d'authentification et d'interaction utilisateur soulignent l'urgence de la vérification.
Mesures : vérifier l'état des correctifs et surveiller l'utilisation
Les étapes suivantes s'appliquent au traitement de CVE-2026-109220 :
Vulnérabilité et état des correctifs pour pdf-for-woocommerce vérifier.
Le plugin sur la version 7.2.0 ou supérieure Mettre à jour.
Prioriser les systèmes affectés selon leur accessibilité publique et leur pertinence commerciale.
Surveiller l'API de la boutique WooCommerce, en particulier POST /wc/store/v1/checkout, pour une utilisation inattendue.
Mettre en place une surveillance continue des vulnérabilités et des risques liés aux fournisseurs.
Au moment de la publication, selon Wordfence, aucune exploitation active n'était connue. Ce statut ne change rien à la nécessité de vérifier rapidement les installations de boutique accessibles publiquement et leur état de correctif.
WooCommerce est largement répandu dans le DACH. Les exploitants de boutiques en ligne qui traitent des données clients via le plugin devraient vérifier s'il y a une violation de données qui nécessite une notification conformément à l'art. 33 du RGPD dans un délai de 72 heures à l'autorité de surveillance compétente. En Allemagne et en Autriche, une obligation NIS-2 pour les opérateurs d'installations essentielles ou importantes peut également être pertinente ; les organisations suisses sont soumises aux obligations de notification selon la loi révisée sur la sécurité de l'information (ISG) vis-à-vis du BACS.
Capturer les instances de boutiques externes comme objets de vérification
La gestion externe de la surface d'attaque aide à rendre visibles les applications Web et les interfaces accessibles publiquement sous ses propres domaines comme objets de vérification. Pour CVE-2026-109220, cela concerne en particulier les boutiques WooCommerce, les chemins d'assets de plugin et les points de terminaison de l'API de la boutique accessibles.
LocateRisk aide à l'inventaire externe des systèmes exposés et des logiciels utilisés. Les résultats peuvent être utilisés pour vérifier la vulnérabilité, l'état des correctifs et la priorisation. Une visibilité externe sert à identifier les actifs pertinents pour l'audit ; l'évaluation technique et la mise à jour de l'installation respective restent nécessaires.
De plus, un suivi continu du risque des fournisseurs peut inclure les dépendances des fournisseurs de logiciels et des composants dans l'évaluation des risques.
Suis-je concerné ?
Concernant for WooCommerce dans les versions mentionnées ci-dessus ; la vulnérabilité a été corrigée dans 7.2.0. Si quelqu'un veut savoir si for WooCommerce est visible dans son infrastructure accessible publiquement, il peut consulter le Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
L'injection d'objet PHP est une vulnérabilité où des entrées non fiables sont transmises à la fonction PHP unserialize sans validation. Un attaquant peut alors injecter des objets malveillants qui peuvent exécuter du code malveillant côté serveur ou déclencher d'autres actions sensibles à la sécurité lors du processus de désérialisation.
Toutes les versions du plugin jusqu'à y compris 7.1.1. Avec la version 7.2.0 , un correctif est disponible sur lequel les installations concernées devraient être mises à jour.
La première étape importante est la mise à jour du plugin vers la version 7.2.0 ou supérieure. En outre, il est recommandé de surveiller l'API de WooCommerce Store — en particulier le point de terminaison POST /wc/store/v1/checkout — pour détecter des requêtes inattendues ou anormales et d'inventorier régulièrement les instances de boutique accessibles au public dans le cadre d'un inventaire d'actifs.
État : 31.10.2026. Cet article est à des fins d'information générales et ne constitue pas un conseil juridique, de sécurité ou d'action pour un cas particulier. La situation de sécurité et la disponibilité des correctifs peuvent avoir changé depuis la publication ; l'avis du fabricant lié est toujours déterminant. Malgré des recherches soigneuses, nous ne garantissons pas l'actualité, l'exactitude et l'exhaustivité.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Première évaluation en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2026-109220
Évaluation passive
Remarques concernant le CVEtrouvé ou non trouvé
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English