CVE-2026-4001

El plugin Woocommerce Custom Product Addons Pro para WordPress es vulnerable a ejecución remota de código en todas las versiones hasta la 5.4.1, inclusive, a través de la fórmula de precios personalizada eval() en la función process_custom_formula() dentro de includes/process/price.php. Esto se debe a una sanitización y validación insuficientes de los valores de campo enviados por el usuario antes de pasarlos a la función eval() de PHP. El método sanitize_values() elimina las etiquetas HTML pero no escapa las comillas simples ni previene la inyección de código PHP. Esto hace posible que atacantes no autenticados ejecuten código arbitrario en el servidor al enviar un valor manipulado a un campo de texto de WCPA configurado con una fórmula de precios personalizada (pricingType: 'custom' con {this.value}).