В плагине Expivi для WooCommerce нашли RCE без аутентификации с CVSS 9.8

В WordPress-плагине Expivi 3D Product Configurator для WooCommerce до версии 2.16.2 обнаружена критическая уязвимость CVE-2026-103889 (CVSS 9.8). Проверка аутентификации в обработчике PDF была закомментирована, а параметр xpv_image без экранирования попадал в шаблон Dompdf с включённым isPhpEnabled, что позволяло выполнить PHP-код без входа. Исправлено в версии 2.16.3.

• CVE-2026-103889: CVSS 9.8, уязвимы все версии плагина до 2.16.2 включительно
• Проверка nonce и авторизации была целиком закомментирована в коде
• Dompdf с опцией isPhpEnabled исполнял PHP из параметра xpv_image
• Исправление выпущено в версии 2.16.3, уязвимость нашёл Osman Hussein