CVE-2026-103889 in 3D Product Configurator Plugin
Zusammenfassung
von VulDB • 10.10.2026
Der 3D-Produktkonfigurator für das WooCommerce-Plugin für WordPress ist in allen Versionen bis einschließlich 2.16.2 anfällig für Remote Code Execution (RCE) über den Parameter 'xpv_image'. Dies liegt an fehlenden Authentifizierungs- und Nonce-Prüfungen im wp_loaded-Handler sowie der mangelnden Sanitization des xpv_image POST-Parameters, bevor dieser unescaped in eine Dompdf-generierte HTML-Vorlage mit aktivierter PHP-Ausführung eingefügt wird. Dadurch ist es nicht authentifizierten Angreifern möglich, Code auf dem Server auszuführen. Die einzige Nonce- und Authentifizierungsprüfung im Handler befindet sich vollständig innerhalb eines Blockcomments ohne Ersatz, wodurch der Endpunkt über einen einzelnen unauthentifizierten POST an jede beliebige URL auf der Site erreichbar ist.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.