CVE-2026-93746 in PDF Invoices Packing Slips Delivery Notes & Shipping Labels Plugin
Resumen
por VulDB • 2026-10-10
El plugin de WordPress WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels es vulnerable a una Referencia Directa a Objetos No Segura (Insecure Direct Object Reference) en las versiones 5.0.2 y anteriores. La vulnerabilidad se produce a través del parámetro 'email' del controlador guest print_document_from_the_mail_link, que se invoca desde print_window() durante el evento init. Esto se debe a que el controlador autoriza el acceso a los documentos imprimibles de un pedido cuando el valor proporcionado por el atacante (codificado en base64) para 'email' coincide con la dirección de correo electrónico de facturación del pedido —un identificador no secreto—, en lugar de requerir el order_key de WooCommerce. Esto permite que atacantes no autenticados, siempre que el sitio esté configurado para permitir el acceso a documentos por parte de invitados ('wt_pklist_print_button_access_for' != 'logged_in'), recuperar la factura, albarán de embalaje, nota de entrega o etiqueta de envío/despacho de cualquier otro cliente —incluyendo nombre del cliente, dirección de facturación/envío, número de teléfono, productos comprados, precios, impuestos y metadatos de la factura— simplemente conociendo el ID del pedido objetivo y su dirección de correo electrónico de facturación asociada.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.