CVE-2026-109220: RCE critico nel plugin fatture WooCommerce

Il CVE-2026-109220 descrive una vulnerabilità di PHP Object Injection nel plugin PDF Invoice for WooCommerce + Drag and Drop Template Builder. La falla risiede nel parametro 'customer_note' del modulo di checkout: l'assenza di sanitizzazione consente l'iniezione di dati serializzati deserializzati tramite unserialize() senza validazione. Chiunque acceda al checkout pubblico di un negozio WooCommerce, anche in forma anonima, può eseguire codice PHP arbitrario sul server.

La criticità è certificata da CVSS 9,8 (Critical). L'attacco non richiede autenticazione: un utente anonimo innesca la vulnerabilità tramite l'API pubblica /wc/store/v1/checkout selezionando metodi come Bonifico Diretto o assegno, che attivano l'hook di generazione fattura. Il CVE è stato pubblicato il 31 ottobre 2026. Segnali su X indicano discussione della falla, sebbene quel contenuto sia non verificato; la coerenza con la descrizione tecnica ufficiale è evidente.

Gli amministratori di siti WooCommerce devono aggiornare il plugin al più presto. Verificare nel repository WordPress la disponibilità di versioni patched e installare l'aggiornamento immediatamente. Esaminare log di accesso a /wc/store/v1/checkout per attività anomale, implementare regole WAF specifiche, disabilitare il plugin fino a versione sicura se necessario. Una compromissione consentirebbe pieno controllo del server, dell'applicazione e dei dati sensibili del negozio.