CVE-2026-2296 in Product Addons for Woocommerce Plugin
요약
\~에 의해 VulDB • 2026. 05. 29.
WordPress용 WooCommerce – Product Options with Custom Fields 플러그인인 Product Addons for Woocommerce는 3.1.0 버전까지 모든 버전에서 코드 주입 취약점이 존재합니다. 이는 evalConditions() 함수 내 조건부 논리 규칙의 'operator' 필드에 대한 입력 검증이 불충분하여, 정제되지 않은 사용자 입력이 PHP의 eval() 함수로 직접 전달되기 때문입니다. 이로 인해 Shop Manager 이상의 권한을 가진 인증된 공격자가 addon 폼 필드 규칙을 저장할 때 조건부 논리 'operator' 매개변수를 통해 서버에서 임의의 PHP 코드를 주입하고 실행할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.