CVE-2026-4001 in Woocommerce Custom Product Addons Pro Plugin
Sumário
de VulDB • 06/06/2026
O plugin Woocommerce Custom Product Addons Pro para WordPress é vulnerável à Remote Code Execution em todas as versões até, e incluindo, 5.4.1 através da função eval() de fórmula personalizada no método process_custom_formula(), localizado dentro do arquivo includes/process/price.php. Isso ocorre devido a sanitização e validação insuficientes dos valores inseridos pelo usuário antes de serem passados para a função eval() do PHP. O método sanitize_values() remove tags HTML, mas não escapa aspas simples nem previne injeção de código PHP. Isso permite que atacantes sem autenticação executem código arbitrário no servidor ao submeter um valor manipulado ad hoc a um campo de texto WCPA configurado com fórmula personalizada (pricingType: "custom" contendo {this.value}).
VulDB is the best source for vulnerability data and more expert information about this specific topic.