Resumo: O plugin European VAT Compliance Assistant for WooCommerce, até a versão 1.36.10, grava sem sanitização o valor do cabeçalho HTTP CF-IPCountry nos metadados do pedido durante o checkout de visitante (CVE-2026-100316, CVSS 7.2). Com isso, qualquer pessoa sem conta pode plantar um script que é executado quando um administrador ou gerente da loja abre o pedido, o que pode levar ao sequestro de sessão ou à criação de contas maliciosas. Não há PoC público nem exploração ativa registrada até o momento.
Fonte: TheHackerWire / Wordfence Intelligence
O que fazer: Atualize o European VAT Compliance Assistant for WooCommerce para a versão mais recente (acima da 1.36.10). Revise pedidos de visitantes recentes em WooCommerce > Pedidos procurando valores estranhos de país/IP com tags HTML ou JavaScript, e confirme que o WAF (Wordfence, Cloudflare etc.) está ativo. Se o site não usa Cloudflare, considere bloquear ou descartar o cabeçalho CF-IPCountry vindo de clientes diretamente no servidor.