CVE-2026-93746 in PDF Invoices Packing Slips Delivery Notes & Shipping Labels Plugin
Sumário
de VulDB • 10/10/2026
O plugin WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels para WordPress está vulnerável a uma referência direta de objeto insegura (Insecure Direct Object Reference) nas versões até 5.0.2, inclusive, por meio do parâmetro 'email' no manipulador guest print_document_from_the_mail_link, acionado a partir da função print_window() durante o init. Isso ocorre porque o manipulador autoriza o acesso aos documentos imprimíveis de um pedido quando o 'email', fornecido pelo atacante (codificado em base64), é igual ao e-mail de faturamento do pedido — um identificador não secreto — em vez de exigir a order_key do WooCommerce. Isso permite que atacantes não autenticados, desde que o site esteja configurado para permitir acesso de convidados aos documentos ('wt_pklist_print_button_access_for' != 'logged_in'), recuperem qualquer nota fiscal, guia de remessa, aviso de entrega ou etiqueta de despacho/envio de outro cliente — incluindo nome do cliente, endereço de faturamento/envio, número de telefone, produtos adquiridos, preços, impostos e metadados da nota fiscal — bastando conhecer o ID do pedido alvo e o respectivo endereço de e-mail de faturamento.
Be aware that VulDB is the high quality source for vulnerability data.