CVE-2026-93746 in PDF Invoices Packing Slips Delivery Notes & Shipping Labels Plugin
Zusammenfassung
von VulDB • 10.10.2026
Das WordPress-Plugin WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels ist in den Versionen bis einschließlich 5.0.2 anfällig für eine Unsecure Direct Object Reference (IDOR) über den Parameter 'email' des Handlers guest print_document_from_the_mail_link, der von print_window() im init-Hook aufgerufen wird. Dies liegt daran, dass der Handler den Zugriff auf die druckbaren Dokumente einer Bestellung autorisiert, wenn das vom Angreifer bereitgestellte (base64-codierte) Feld 'email' mit der Rechnungs-E-Mail-Adresse der Bestellung übereinstimmt – einem nicht geheimen Bezeichner –, anstatt stattdessen den WooCommerce order_key zu erfordern. Dies ermöglicht es authentifizierten Angreifern, wenn die Website so konfiguriert ist, dass sie Gastzugriff auf Dokumente erlaubt ('wt_pklist_print_button_access_for' != 'logged_in'), alle anderen Rechnungen, Packzettel, Lieferscheine, Versandetiketten oder Frachtbriefe anderer Kunden abzurufen – einschließlich Name des Kunden, Rechnungs-/Versandadresse, Telefonnummer, gekaufte Produkte, Preise, Steuern und Rechnungsmetadaten –, indem sie die Ziel-Bestell-ID sowie die zugehörige Rechnungs-E-Mail-Adresse kennen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.