WooCommerce向けPDF請求書プラグインに深刻な脆弱性
WordPress通販サイト向け「PDF Invoice for WooCommerce」にCVSS 9.8の脆弱性、修正版7.2.0が公開された。
WordPressベースの通販サイトで使われる「PDF Invoice for WooCommerce」に、認証不要のリモートコード実行につながる重大な脆弱性が見つかった。識別子はCVE-2026-109220、CVSS 3.1のスコアは9.8。dailysecu.comが報じた。10月31日に公開された。
影響を受けるのはバージョン7.1.1以前。開発元は修正版の7.2.0を公開している。
脆弱性は、顧客の注文メモをPDF請求書に変換する処理で発生する。ゲスト購入を許可している店舗では、未登録の攻撃者が該当機能に到達できる可能性がある。
現時点で、実際の悪用や個人情報の漏えいは確認されていない。
運営者への推奨
運営者にはバージョン7.2.0以降への更新が勧められる。
よくある質問
どのバージョンが影響を受けますか？
バージョン7.1.1以前が影響を受けます。修正版は7.2.0です。
どのような脆弱性ですか？
顧客の注文メモをPDF請求書に変換する処理で発生する、認証不要のリモートコード実行の脆弱性です。CVSS 3.1スコアは9.8です。
すでに悪用されていますか？
現時点で実際の悪用や個人情報の漏えいは確認されていません。