CVE-2026-4001 in Woocommerce Custom Product Addons Pro Plugin
要約
〜によって VulDB • 2026年06月20日
WordPress用プラグイン「Woocommerce Custom Product Addons Pro」の5.4.1以前の全バージョンには、Remote Code Execution（RCE）の脆弱性が存在します。これは、includes/process/price.php内のprocess_custom_formula()関数におけるカスタム価格計算式eval()経由で発生します。この脆弱性は、PHPのeval()関数に渡す前にユーザーが入力したフィールド値のサニタイズと検証が不十分であることに起因します。sanitize_values()メソッドはHTMLタグを除去しますが、シングルクォートエスケープやPHPコードインジェクションの防止は行いません。このため、認証されていない攻撃者は、カスタム価格計算式（pricingType: "custom"、{this.value}）が設定されたWCPAテキストフィールドに改ざんされた値を送信することで、サーバー上で任意のコードを実行することが可能になります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.