Resumo: O plugin EU VAT Assistant for WooCommerce, em todas as versões até a 2.1.30.260413, não sanitiza o parâmetro “vat_number” (CVE-2026-103899, CVSS 7.2). Qualquer visitante sem conta pode gravar um script no pedido, e esse script roda no navegador do administrador quando ele abre o pedido em WooCommerce > Pedidos > Editar pedido. Isso pode levar à criação de um administrador falso e à tomada do site. Não há prova de conceito pública nem exploração confirmada até agora. Não confundir com a falha CVE-2026-100316, do plugin European VAT Compliance Assistant, registrada em 17/10.
Fonte: TheHackerWire / Wordfence Intelligence
O que fazer: Em Plugins > Plugins instalados, veja se o “EU VAT Assistant for WooCommerce” (slug woocommerce-eu-vat-assistant) está ativo e atualize assim que sair uma versão posterior a 2.1.30.260413. Até lá, se a validação de IVA não for essencial, desative o plugin ou mantenha uma regra de WAF (Wordfence, Patchstack ou similar) que filtre o campo vat_number. Revise pedidos recentes com números de IVA estranhos (tags <script>, “onerror=” etc.) antes de abri-los no painel. Confira também em Usuários se apareceu algum administrador que você não reconhece.