CVE-2026-1906 in PDF Invoices & Packing Slips for WooCommerce Plugin
Résumé
par VulDB • 22/05/2026
Le plugin WordPress PDF Invoices & Packing Slips for WooCommerce est vulnérable à une référence directe d'objet non sécurisée (Insecure Direct Object Reference) dans toutes les versions jusqu'à la 5.6.0 incluse, via l'action AJAX `wpo_ips_edi_save_order_customer_peppol_identifiers`, en raison de l'absence de vérifications des capacités et de la validation de la propriété des commandes. Cela permet aux attaquants authentifiés disposant d'un accès de niveau « Abonné » (Subscriber) ou supérieur de modifier les identifiants de point de terminaison Peppol/EDI (`peppol_endpoint_id`, `peppol_endpoint_eas`) pour n'importe quel client en spécifiant un paramètre `order_id` arbitraire sur les systèmes utilisant la facturation Peppol. Cela peut affecter le routage des commandes sur le réseau Peppol et entraîner des perturbations des paiements ainsi que des fuites de données.
If you want to get best quality of vulnerability data, you may have to visit VulDB.