PDF Invoice for WooCommerce: Nicht authentifizierte PHP Object Injection

Zusammenfassung

Das WordPress-Plugin PDF Invoice for WooCommerce + Drag and Drop Template Builder ist in allen Versionen bis einschliesslich 7.1.1 betroffen, da das Checkout-Feld customer_note nicht ausreichend bereinigt wird. Der Inhalt gelangt ohne Validierung in unserialize(), was eine PHP Object Injection ermöglicht. Ein nicht authentifizierter Angreifer kann über die öffentliche WooCommerce Store API eine Bestellung mit Vorkasse- oder Scheckzahlung auslösen, was zu Remote Code Execution auf dem Server führen kann. NVD und der CVE-Eintrag geben einen CVSS-Basiswert von 9.8 an; VulDB nennt 7.3.

Betroffen

• PDF Invoice for WooCommerce + Drag and Drop Template Builder (Slug pdf-for-woocommerce), alle Versionen bis einschliesslich 7.1.1

Behoben in

• Version 7.2.0 laut WordPress.org-Changelog ("Fixed: Security"). Nicht durch einen Herstellerhinweis bestätigt.

Umgehung

• Kein Herstellerhinweis gefunden.
• Plugin deaktivieren oder die Rechnungserstellung für Vorkasse- und Scheckbestellungen abschalten, bis das Update installiert ist.
• Neue Bestellungen auf ungewöhnliche customer_note-Inhalte prüfen.

Ausnutzung

• Laut den Recherchequellen nicht als aktiv ausgenutzt bekannt.
• Kein öffentlicher Proof of Concept gefunden; dies schliesst einen Exploit nicht aus.
• In den geprüften Quellen nicht im CISA KEV gelistet; auf cisa.gov überprüfen.

Unsere Empfehlung

• Auf Version 7.2.0 oder neuer aktualisieren und die installierte Version prüfen.
• Bis dahin das Plugin deaktivieren oder die Rechnungserstellung für betroffene Zahlungsarten abschalten.
• Shop-Logs und neue Bestellungen auf verdächtige customer_note-Einträge kontrollieren und die Exponierung öffentlicher WooCommerce-Shops prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence vulnerability record www.wordfence.com
• WordPress.org plugin page and changelog wordpress.org
• Plugin 7.2.0 download package downloads.wordpress.org
• Vulnerable code: frontend/index.php in 7.1.1 plugins.trac.wordpress.org
• Vulnerable code: libs/HtmlNode.php in 7.1.1 plugins.trac.wordpress.org
• OffSeq threat radar entry radar.offseq.com
• VulDB entry vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:20.