CVE-2026-109217
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka PDF Invoices & Packing Slips for WooCommerce jest podatna na ujawnienie poufnych informacji w wersjach do 5.16.5 włącznie poprzez parametr 'invoice_number' (poprzez nazwę pliku dokumentu). Nieuwierzytelniony atakujący może uzyskać pełny plik PDF faktury innego klienta, zawierający dane rozliczeniowe, adres wysyłki, prywatne notatki do zamówienia, pozycje, ceny, daty, ID zamówienia i numer faktury, dostarczony bezpośrednio na e-mail atakującego jako załącznik potwierdzenia zamówienia.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych innych klientów, w tym danych osobowych i szczegółów zamówień, co może prowadzić do naruszenia prywatności i oszustw. Wymaga to włączenia opcji rocznego resetowania numerów faktur i odpowiedniego czasu.
Rekomendacja
Zaktualizuj wtyczkę PDF Invoices & Packing Slips for WooCommerce do wersji nowszej niż 5.16.5. Rozważ wyłączenie opcji rocznego resetowania numerów faktur, jeśli nie jest konieczna.
Inne podatności w PDF Invoices & Packing Slips for WooCommerce
Zobacz wszystkie- CVE-2026-111593Nieznane
CVE zostało odrzucone. Identyfikator zarezerwowano dla zgłoszonego problemu w wtyczce WordPress PDF Invoices & Packing Slips for WooCommerce, ale nigdy nie opublikowano. W wyniku walidacji uznano, że zgłoszone zachowanie nie jest podatnością, ponieważ rola Shop Manager mogąca wywołać narzędzie masowego usuwania i przenumerowywania faktur posiada już równoważne uprawnienia, więc nie przekracza granicy uprawnień.
- CVE-2026-92244Wysokie
Wtyczka PDF Invoices & Packing Slips for WooCommerce dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pola imienia, nazwiska i firmy w danych rozliczeniowych we wszystkich wersjach do 5.16.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Ładunek przetrwa początkowe przechowywanie, ponieważ funkcje WooCommerce sanitize_text_field() i wc_clean() nie usuwają ciągów zakodowanych encjami, które nie zawierają znaku '<', co pozwala nieuwierzytelnionym zamówieniom gościnnym umieścić złośliwą treść.
- CVE-2026-107750Wysokie
Wtyczka PDF Invoices & Packing Slips for WooCommerce jest podatna na przechowywany XSS poprzez parametry 'billing_address.first_name / last_name / company, customer_note' w wersjach do 5.16.4 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to niekompletna poprawka dla CVE-2026-92244: lista dozwolonych wp_kses() wprowadzona w 5.16.2 blokuje surowe tagi, ale jest omijana przez ładunki zakodowane encjami (np. <img onerror=…>), które nie zawierają literalnych nawiasów kątowych i są przepuszczane bez modyfikacji przed końcowym dekodowaniem.
- CVE-2026-111578Wysokie
Wtyczka WordPress PDF Invoices & Packing Slips for WooCommerce w wersjach od 5.16.2 do 5.16.5 nie escapuje poprawnie kilku pól zamówienia dostarczanych przez klienta (adresy rozliczeniowe i wysyłkowe oraz notatka do zamówienia) przed wyświetleniem ich w generowanych dokumentach. Umożliwia to niezalogowanym użytkownikom składającym zamówienia jako gość zapisanie złośliwego skryptu, który wykonuje się, gdy administrator sklepu otworzy dokument, co prowadzi do przechowywanego XSS.
- CVE-2026-13116Średnie
Wtyczka PDF Invoices & Packing Slips for WooCommerce do WordPressa w wersjach do 5.14.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w shortcode generate_document_shortcode. Brak walidacji kontrolowanego przez użytkownika klucza umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym generowanie publicznie dostępnych linków do pobierania faktur i listów przewozowych dla dowolnych zamówień innych klientów.
Oryginalny opis (angielski, źródło NVD)
The PDF Invoices & Packing Slips for WooCommerce plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 5.16.5 via the 'invoice_number (via document filename)' parameter. This makes it possible for unauthenticated attackers to extract another customer's complete invoice PDF — including billing identity, shipping address, private order notes, line items, prices, dates, order ID, and invoice number — delivered directly to the attacker's email as an order confirmation attachment. Exploitation requires the plugin's yearly invoice number reset option to be enabled, and the attacker's guest-checkout order must trigger a processing email within 60 seconds of a victim order that shares the same yearly-reset invoice number.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS