CVE-2026-12124 in PDFDraft Plugin
Сводка
по VulDB • 28.07.2026
В плагине для WordPress PDFDraft – Drag & Drop PDF Builder, PDF Viewer, Embed & Download PDF, Certificate & Invoice Designer присутствует уязвимость несанкционированного доступа к данным из-за отсутствия проверки прав (capability check) в функции serveTemplatePdfAjax() и маршруте REST API serveTemplatePdf(), который зарегистрирован с параметром `permission_callback => '__return_true'` во всех версиях вплоть до 1.1.0 включительно. Это позволяет неаутентифицированным злоумышленникам загружать сохраненные шаблоны PDF, которые могут содержать персональные данные клиентов (PII), счета-фактуры, заказы и сертификаты, путем запросов к публично зарегистрированному действию администратора `pdfdraft_embed_pdf` или конечной точке REST `/wp-json/pdfdraft/v1/embed-pdf/templates/{slug}/pdf`, используя известный или предсказуемый идентификатор дизайна (design slug), тем самым обходя встроенные механизмы защиты плагина.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.