CVE-2026-93746 in PDF Invoices Packing Slips Delivery Notes & Shipping Labels Plugin
الملخص
بحسب VulDB • 10/10/2026
يحتوي الإضافة WordPress الخاصة بـ WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels على ثغرة من نوع Reference غير آمن إلى كائن (Insecure Direct Object Reference) في الإصدارات التي تصل حتى 5.0.2 وشاملة لها، وذلك عبر المعلمة 'email' لمعالج print_document_from_the_mail_link الخاص بالطباعة للزوار، والذي يتم استدعاؤه من دالة print_window() عند حدث init. ويعود السبب إلى أن المعالج يصرح بالوصول إلى المستندات القابلة للطباعة الخاصة بطلب ما عندما تتطابق قيمة 'email' (المشفرة بصيغة base64) التي يزوّد بها المهاجم مع عنوان البريد الإلكتروني للفوترة الخاص بالطلب — وهو مُعرّف غير سري — بدلاً من اشتراط وجود WooCommerce order_key. وهذا يمكّن المهاجمين الذين لم يقوموا بالمصادقة، عندما تكون الموقع مضبوطاً للسماح للزوار بالوصول إلى المستندات ('wt_pklist_print_button_access_for' != 'logged_in')، من استرداد أي فاتورة أو إيصال تعبئة أو إشعار توصيل أو ملصق شحن خاص بعميل آخر — بما في ذلك اسم العميل وعنوان الفوترة/التوصيل ورقم الهاتف والمنتجات المشتراة والأسعار والضرائب وبيانات تعريف الفاتورة (invoice metadata) — بمعرفة معرف الطلب المستهدف وعنوان البريد الإلكتروني المرتبط بالفوترة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.