CVE-2026-93746 in PDF Invoices Packing Slips Delivery Notes & Shipping Labels Plugin
요약
\~에 의해 VulDB • 2026. 10. 10.
WordPress용 WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels 플러그인은 5.0.2 버전 및 그 이전 버전에서 취약점이 존재합니다. init 시 print_window()에서 호출되는 guest_print_document_from_the_mail_link 핸들러의 'email' 매개변수를 통해 비직접 객체 참조(Insecure Direct Object Reference)가 발생합니다. 이는 공격자가 제공한 (base64로 인코딩된) 'email'이 주문의 청구 이메일과 일치할 때(비밀번호가 아닌 식별자임), WooCommerce order_key를 요구하는 대신 해당 핸들러가 주문의 인쇄 가능 문서에 대한 접근을 승인하기 때문입니다. 이로 인해 사이트가 게스트 문서관람을 허용하도록 구성된 경우('wt_pklist_print_button_access_for' != 'logged_in'), 인증되지 않은 공격자는 대상 주문 ID와 관련 청구 이메일 주소를 알기만 하면 다른 고객의 송장, 포장 영수증, 배송 명세서, 발송 라벨 또는 운송 라벨(고객 이름, 청구/배송 주소, 전화번호, 구매 제품, 가격, 세금 및 송장 메타데이터 포함)을 검색할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.