PT-2026-134441
CVE-2026-109217
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-11-01
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
PDF Invoices & Packing Slips for WooCommerce الإصدارات السابقة لـ 5.16.6
الوصف
توجد ثغرة تسمح للمهاجمين غير المصرح لهم باستخراج ملف PDF الكامل لفاتورة عميل آخر. يتضمن هذا الكشف هوية الفوترة، وعنوان الشحن، وملاحظات الطلب الخاصة، وبنود الطلب، والأسعار، والتواريخ، ومعرف الطلب، ورقم الفاتورة، والتي يتم إرسالها إلى بريد المهاجم الإلكتروني كمرفق لتأكيد الطلب. يتم تحفيز هذه الثغرة عبر المعلمة
invoice number (via document filename). وتكون عملية الاستغلال ممكنة إذا كان خيار إعادة تعيين رقم الفاتورة السنوي في الإضافة مفعلًا، وكان طلب الدفع كضيف الذي قام به المهاجم قد أدى إلى إرسال بريد إلكتروني للمعالجة في غضون 60 ثانية من طلب ضحية يشترك في نفس رقم الفاتورة المعاد تعيينه سنويًا.التوصيات
التحديث إلى الإصدار 5.16.6 أو أحدث.
تعطيل خيار إعادة تعيين رقم الفاتورة السنوي كإجراء تخفيف مؤقت.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾