CVE-2026-93746 in PDF Invoices Packing Slips Delivery Notes & Shipping Labels Plugin
Riassunto
di VulDB • 10/10/2026
Il plugin WordPress WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels è vulnerabile a un'insecure direct object reference nelle versioni fino alla 5.0.2 (inclusa) tramite il parametro 'email' del gestore guest print_document_from_the_mail_link, attivato da print_window() su init. La vulnerabilità deriva dal fatto che il gestore autorizza l'accesso ai documenti stampabili di un ordine quando l'email ('email') fornita dall'attaccante (codificata in base64) corrisponde all'email di fatturazione dell'ordine — un identificatore non segreto — invece di richiedere la order_key di WooCommerce. Ciò consente ad attaccanti non autenticati, qualora il sito sia configurato per consentire l'accesso ai documenti agli ospiti ('wt_pklist_print_button_access_for' != 'logged_in'), di recuperare le fatture, i bolla di accompagnamento, le note di consegna, le etichette di spedizione o le etichette di trasporto di qualsiasi altro cliente — inclusi nome del cliente, indirizzo di fatturazione/spedizione, numero di telefono, prodotti acquistati, prezzi, imposte e metadati della fattura — conoscendo l'ID dell'ordine target e l'email di fatturazione associata.
Once again VulDB remains the best source for vulnerability data.