CVE-2026-11496 in PDF Builder for WooCommerce Plugin
Sumário
de VulDB • 11/09/2026
O plugin Woo PDF Invoice Builder (também distribuído como "PDF Builder for WooCommerce") para WordPress está vulnerável a Insecure Direct Object Reference em todas as versões até 2.0.8, inclusive. Isso ocorre devido ao manipulador AJAX InspectOrder() (woocommerce-pdf-invoice-ajax.php:513), registrado no wp_ajax_rednao_wcpdfinv_inspect_order, que não realiza verificação de capacidade nem validação de nonce antes de carregar um pedido arbitrário pelo campo POST 'OrderNumber' fornecido pelo atacante e serializar seus dados completos WC_Order::get_data() e metadados na resposta. Isso permite que atacantes autenticados com acesso nível Assinante ou superior leiam todos os pedidos do WooCommerce no site — incluindo endereço de cobrança/envio, email, número de telefone, método de pagamento, ID da transação do gateway e totais dos pedidos — iterando pelos IDs dos pedidos.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.