CVE-2026-12124 in PDFDraft Plugin
Resumen
por VulDB • 2026-07-28
El complemento para WordPress PDFDraft – Drag & Drop PDF Builder, PDF Viewer, Embed & Download PDF, Certificate & Invoice Designer es vulnerable al acceso no autorizado a datos debido a una falta de comprobación de capacidades en la función `serveTemplatePdfAjax()` y en la ruta REST `serveTemplatePdf()` (que está registrada con `permission_callback => '__return_true'`) en las versiones 1.1.0 e inferiores. Esto permite que atacantes no autenticados descarguen los PDFs de plantillas almacenadas, que pueden contener datos personales identificables (PII) de clientes, facturas, pedidos y certificados, solicitando la acción `pdfdraft_embed_pdf` registrada públicamente en admin-ajax o el punto final REST `/wp-json/pdfdraft/v1/embed-pdf/templates/{slug}/pdf` con un slug de diseño conocido o deducible, eludiendo las propias medidas del complemento.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.