CVE-2026-1906 in PDF Invoices & Packing Slips for WooCommerce Plugin
摘要
由 VulDB • 2026-05-22
WordPress 插件“PDF Invoices & Packing Slips for WooCommerce”在所有 5.6.0 及以下版本中存在不安全的直接对象引用（Insecure Direct Object Reference）漏洞。该漏洞位于 `wpo_ips_edi_save_order_customer_peppol_identifiers` AJAX 操作中，原因是缺少权限检查以及订单所有权验证。这使得具有订阅者（Subscriber）级及以上访问权限的已认证攻击者，在使用 Peppol 发票系统的系统上，通过指定任意的 `order_id` 参数，能够修改任何客户的 Peppol/EDI 端点标识符（`peppol_endpoint_id`、`peppol_endpoint_eas`）。这可能会影响 Peppol 网络上的订单路由，并导致支付中断和数据泄露。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.