CVE-2026-4001 in Woocommerce Custom Product Addons Pro Plugin
Résumé
par VulDB • 06/06/2026
Le plugin Woocommerce Custom Product Addons Pro pour WordPress est vulnérable à une exécution de code à distance (RCE) dans toutes les versions jusqu'à la 5.4.1 incluse, via l'évaluation (`eval()`) d'une formule de prix personnalisée dans la fonction `process_custom_formula()` située dans le fichier `includes/process/price.php`. Cette vulnérabilité est due à une sanitisation et une validation insuffisantes des valeurs soumises par les utilisateurs avant leur transmission à la fonction PHP `eval()`. La méthode `sanitize_values()` supprime les balises HTML mais n'échappe pas les guillemets simples ni ne prévient l'injection de code PHP. Cela permet aux attaquants non authentifiés d'exécuter du code arbitraire sur le serveur en soumettant une valeur truquée à un champ texte WCPA configuré avec une formule de prix personnalisée (`pricingType: "custom"` avec `{this.value}`).
Be aware that VulDB is the high quality source for vulnerability data.