Faille critique RCE dans PDF Invoice for WooCommerce
La vulnérabilité CVE-2026-109220, notée 9,8 sur l'échelle CVSS 3.1, touche les versions 7.1.1 et antérieures du plugin WordPress ; la version 7.2.0 corrige le problème.
Une vulnérabilité critique d'exécution de code à distance non authentifiée a été divulguée le 31 octobre dans le plugin PDF Invoice for WooCommerce, utilisé par des boutiques en ligne sous WordPress. Elle est enregistrée sous la référence CVE-2026-109220, avec un score CVSS 3.1 de 9,8.
Selon dailysecu.com, la faille se manifeste lorsque les notes de commande des clients sont converties en factures PDF. Les boutiques qui autorisent la commande sans création de compte pourraient ainsi exposer la fonction vulnérable à des attaquants non enregistrés.
Les versions 7.1.1 et antérieures sont concernées. Le développeur a publié la version 7.2.0 pour corriger le problème, et les exploitants sont invités à mettre à jour vers cette version ou une version ultérieure.
Aucune exploitation active ni fuite de données personnelles n'a été confirmée à ce stade.
En bref
Quelles versions du plugin PDF Invoice for WooCommerce sont concernées ?
Les versions 7.1.1 et antérieures sont vulnérables. La version 7.2.0 corrige la faille CVE-2026-109220.
Quel est le score de gravité de CVE-2026-109220 ?
La vulnérabilité obtient un score CVSS 3.1 de 9,8, soit une gravité critique.
Une exploitation de la faille a-t-elle été constatée ?
Aucune exploitation dans la nature ni fuite de données personnelles n'a été confirmée à ce jour.