
WooCommerce plugin: prezzi dei prodotti sicuri basati su formule, chiusura della RCE basata su eval() di CVE-2026-4001
Prezza un prodotto in base a numeri inseriti dal cliente utilizzando una formula — valutata in modo sicuro, mai con la funzione eval() di PHP.
HDWebmobile Formula Pricing consente ai clienti di inserire misure o quantità nella pagina del prodotto e prezza il prodotto in tempo reale tramite una formula che scrivi utilizzando i nomi di quei campi (ad es. 10 + width * height * 0.05 per un materiale tagliato su misura prezzato in base all'area). Questa è una reale esigenza comune per i negozi che vendono tessuti su misura, stampe incorniciate, articoli incisi o qualsiasi cosa prezzata in base a dimensioni o quantità, non solo a un prezzo fisso.
Un plugin concorrente "Custom Product Addons Pro" implementava il prezzo basato su formule passando il testo della formula del commerciante direttamente alla funzione eval() di PHP al momento del calcolo (CVE-2026-4001) — una vulnerabilità di esecuzione remota di codice non autenticata. Questo plugin chiude del tutto quella classe di vulnerabilità per costruzione:
eval(), non c'è create_function(), non c'è alcun dispatch dinamico di funzioni di alcun tipo in questo plugin — le uniche operazioni che possono mai essere eseguite sono addizione, sottrazione, moltiplicazione e divisione di semplici numeri.Struttura standard di un plugin WordPress:
hdwebmobile-formula-pricing.php Bootstrap
includes/class-hdfp-activator.php
includes/class-hdfp-admin.php
includes/class-hdfp-cart.php
includes/class-hdfp-core.php
includes/class-hdfp-formula-evaluator.php
includes/class-hdfp-frontend.php
includes/class-hdfp-hub.php
includes/class-hdfp-product.php
Parte della suite HDWebmobile di plugin WooCommerce mirati e monouso.
GPLv2 o successiva. Vedi LICENSE.