CVE-2026-111593
NieznaneStreszczenie
CVE zostało odrzucone. Identyfikator zarezerwowano dla zgłoszonego problemu w wtyczce WordPress PDF Invoices & Packing Slips for WooCommerce, ale nigdy nie opublikowano. W wyniku walidacji uznano, że zgłoszone zachowanie nie jest podatnością, ponieważ rola Shop Manager mogąca wywołać narzędzie masowego usuwania i przenumerowywania faktur posiada już równoważne uprawnienia, więc nie przekracza granicy uprawnień.
Ocena ryzyka
Brak ryzyka — CVE zostało odrzucone i nie opisuje rzeczywistej podatności. Żaden rekord CVE nie powinien odwoływać się do tego identyfikatora.
Rekomendacja
Nie podejmuj działań w oparciu o to CVE; ignoruj je w procesach zarządzania podatnościami i nie przypisuj go do wtyczki.
Inne podatności w PDF Invoices & Packing Slips for WooCommerce
Zobacz wszystkie- CVE-2026-92244Wysokie
Wtyczka PDF Invoices & Packing Slips for WooCommerce dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pola imienia, nazwiska i firmy w danych rozliczeniowych we wszystkich wersjach do 5.16.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Ładunek przetrwa początkowe przechowywanie, ponieważ funkcje WooCommerce sanitize_text_field() i wc_clean() nie usuwają ciągów zakodowanych encjami, które nie zawierają znaku '<', co pozwala nieuwierzytelnionym zamówieniom gościnnym umieścić złośliwą treść.
- CVE-2026-13116Średnie
Wtyczka PDF Invoices & Packing Slips for WooCommerce do WordPressa w wersjach do 5.14.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w shortcode generate_document_shortcode. Brak walidacji kontrolowanego przez użytkownika klucza umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym generowanie publicznie dostępnych linków do pobierania faktur i listów przewozowych dla dowolnych zamówień innych klientów.
Oryginalny opis (angielski, źródło NVD)
Rejected reason: This CVE ID was reserved for a reported issue in the PDF Invoices & Packing Slips for WooCommerce WordPress plugin and was never published. On validation the reported behaviour was determined not to be a vulnerability: the Shop Manager role that could invoke the bulk invoice deletion and renumbering tool already holds the equivalent capability through the plugin's normal per-order invoice controls and through WooCommerce order management, so it crosses no privilege boundary. No CVE record should reference this ID.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS