Fallo crítico en PDF Invoice for WooCommerce hasta 7.1.1

Fallo crítico en PDF Invoice for WooCommerce hasta 7.1.1

Qué es y a quién afectaEl plugin PDF Invoice for WooCommerce + Drag and Drop Template Builder para WordPress arrastra una vulnerabilidad de inyección...

Qué es y a quién afecta

El plugin PDF Invoice for WooCommerce + Drag and Drop Template Builder para WordPress arrastra una vulnerabilidad de inyección de objetos PHP identificada como CVE-2026-109220. El fallo afecta a todas las versiones hasta la 7.1.1, incluida, y está clasificado como CWE-502 (deserialización de datos no confiables).

Factura impresa que se abre como una puerta y deja escapar cables y engranajes, metáfora de una vulnerabilidad en el plugin de facturas de WooCommerce

La causa está en el campo customer_note del checkout: el plugin no lo sanea lo suficiente y lo inserta tal cual en el HTML de la factura. A partir de ahí, la cadena pasa por simplehtmldom, que vuelve a convertir la entidad en una etiqueta activa, mPDF la recompone en bytes y el resultado llega a unserialize() dentro de _getObjAttr sin ninguna validación. El resultado es que un atacante no autenticado puede ejecutar código en el servidor.

La gravedad es crítica: CVSS 3.1 de 9.8 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), publicada en la NVD del NIST el 31 de octubre de 2026. Afecta de lleno a pymes y comercios online españoles con tiendas WooCommerce que hayan instalado este plugin para generar facturas en PDF, un escenario muy habitual en Cataluña y en el resto del Estado.

Por qué conviene actuar sin esperar

El vector de ataque es especialmente cómodo para el atacante: no requiere cuenta ni sesión. Según la descripción de la NVD, basta con lanzar un checkout anónimo contra la API pública de la tienda (la ruta de checkout del Store API de WooCommerce) usando un método de pago como transferencia bancaria o cheque. Ese pedido pasa automáticamente a estado on-hold y dispara el hook de generación de factura del plugin, que es donde se activa la ruta vulnerable. En una instalación por defecto, el camino queda abierto.

Conviene precisar un dato importante: CVE-2026-109220 no consta en el catálogo KEV de CISA, por lo que no hay constancia pública de que se esté explotando de forma activa ni un plazo asociado a ese catálogo. Ahora bien, una ejecución remota de código sin autenticación en un componente de facturación es un objetivo demasiado goloso como para dejarlo abierto: los escáneres automatizados localizan este tipo de fallos en cuestión de días.

Qué hacer hoy

  • Comprueba si lo usas y en qué versión. Entra en el panel de WordPress, revisa la lista de plugins y confirma la versión instalada de PDF Invoice for WooCommerce. Si es 7.1.1 o anterior, estás expuesto.
  • Actualiza siguiendo el aviso del fabricante. La referencia oficial del plugin apunta a la versión 7.2.0 como paquete disponible; aplica la actualización que indique el aviso del fabricante y no te quedes en una versión intermedia. Si no puedes actualizar de inmediato, valora desactivar el plugin hasta poder hacerlo.
  • Revisa indicios de intrusión. Busca pedidos anómalos con notas de cliente extrañas, ficheros nuevos o modificados en el servidor, usuarios administradores que no reconozcas y tareas programadas sospechosas. Cualquier rastro de ejecución de código en el servidor obliga a revisar también el resto de la instalación.
  • Reduce lo expuesto a internet. Restringe el acceso al panel de administración, limita la superficie pública del checkout si tu negocio lo permite y mantén al día WordPress, WooCommerce, el tema y el resto de plugins. Un plugin desactualizado es la puerta de entrada más común.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes y comercios online que tienen webs en WordPress, PrestaShop o Joomla y, a menudo, un equipo de IT pequeño o directamente sin equipo dedicado. En un caso como este, lo primero es saber con certeza qué hay instalado y en qué versión: una auditoría de seguridad y un pentesting permiten detectar si la tienda es explotable y qué otras vulnerabilidades conviven con esta.

Después llega el hardening de servidores, la monitorización y la respuesta a incidentes, para que un intento de explotación no pase desapercibido. También nos ocupamos del mantenimiento y actualización de WordPress, PrestaShop y Joomla, y de la reparación de webs hackeadas cuando el fallo ya se ha aprovechado. La idea es sencilla: cerrar las vulnerabilidades y aplicar los parches de seguridad antes de que alguien las encuentre por ti.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.