O plugin WCPOS – Ponto de Venda (POS) para o plugin WooCommerce para WordPress é vulnerável à injeção de código através do motor de modelo "térmico" em todas as versões até, incluindo, 1.9.14 devido ao Recebit_Renderer_Factory enviando modelos com o motor "térmico" para o Legacy_Php_Renderer em vez de um renderizador térmico específico seguro. Isto torna possível que os atacantes autenticados, com o nível de acesso do Gerenciador de Lojas e acima, injetem código PHP arbitrário em um post de modelo que será posteriormente escrito em um arquivo temporário e executado através do include( do PHP), resultando em execução remota de código no servidor. Isto requer que o atacante tenha acesso ao nível de Gerenciador de Lojas ou acima, já que o caminho de salvamento do modelo impõe um wcpos_template_settings nonce e a verificação da capacidade manage_woocommerce_pos. Registro de aconselhamento: GHSA- fq 4 g- jqvq- wx 5 r. Identificadores relacionados: CVE- 2026 - 17581.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 16 T 06: 30: 25.000 Z e lista a sua última modificação como 2026 - 08 - 16 T 06: 30: 26.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 94. O registro contém 13 suporte de referências nestes tipos: AVISO, WEB.