CVE-2026-48836

Podatność nieuwierzytelnionego złamania kontroli dostępu (Broken Access Control) w wtyczce Easy Invoice w wersjach do 2.3.8 włącznie. Niezalogowani użytkownicy mogą uzyskać dostęp do funkcji faktur i zarządzania, które powinny być chronione.

Wtyczka Easy Invoice dla WordPressa do wersji 2.1.19 włącznie jest podatna na brak autoryzacji. Rejestruje ona akcje AJAX easy_invoice_accept_quote i easy_invoice_decline_quote przez hooki wp_ajax_nopriv_, polegając wyłącznie na nonce powiązanym z wyceną, który jest osadzony w publicznie dostępnym szablonie pojedynczej wyceny. W połączeniu z domyślnie wyłączoną opcją Pro (easy_invoice_pro_restrict_quote_to_client) umożliwia to nieuwierzytelnionym atakującym akceptowanie lub odrzucanie dowolnych opublikowanych wycen, a w zależności od skonfigurowanej akcji akceptacji, automatyczne przekształcanie ich w faktury (nawet z wysyłką e-mailem do klienta) poprzez pozyskanie nonce z publicznej strony wyceny i przesłanie go do admin-ajax.