
WooCommerce plugin: precios de productos seguros basados en fórmulas, cerrando el RCE basado en eval() de CVE-2026-4001
Precio de un producto a partir de números introducidos por el cliente usando una fórmula — evaluada de forma segura, nunca con el eval() de PHP.
HDWebmobile Formula Pricing permite a los clientes introducir medidas o cantidades en la página del producto, y calcula el precio en vivo a partir de una fórmula que tú escribes usando esos nombres de campo (p. ej. 10 + width * height * 0.05 para un material cortado a medida con precio por área). Esta es una necesidad real y común para tiendas que venden telas a medida, impresiones enmarcadas, artículos grabados o cualquier cosa con precio por dimensión o cantidad, no solo un número fijo.
Un plugin competidor llamado "Custom Product Addons Pro" implementaba precios basados en fórmulas pasando el texto de la fórmula del comerciante directamente al eval() de PHP en el momento del cálculo (CVE-2026-4001) — una vulnerabilidad de ejecución remota de código sin autenticación. Este plugin elimina toda esa clase de vulnerabilidades por diseño:
eval(), ni create_function(), ni despacho dinámico de funciones de ningún tipo en este plugin — las únicas operaciones que pueden ejecutarse son suma, resta, multiplicación y división de números simples.Estructura estándar de plugin de WordPress:
hdwebmobile-formula-pricing.php Bootstrap
includes/class-hdfp-activator.php
includes/class-hdfp-admin.php
includes/class-hdfp-cart.php
includes/class-hdfp-core.php
includes/class-hdfp-formula-evaluator.php
includes/class-hdfp-frontend.php
includes/class-hdfp-hub.php
includes/class-hdfp-product.php
Parte de la suite HDWebmobile de plugins de WooCommerce enfocados y de un solo propósito.
GPLv2 o posterior. Consulta LICENSE.