CVE-2026-93746

Nome do Software Vulnerável e Versões Afetadas WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels versões anteriores a 5.0.3

Descrição Existe uma Referência Direta a Objeto Insegura (IDOR) no manipulador print document from the mail link para convidados, disparado por print window() no init. O problema ocorre porque o manipulador autoriza o acesso a documentos imprimíveis se o parâmetro email codificado em base64 corresponder ao e-mail de faturamento do pedido, que é um identificador não secreto, em vez de exigir a order key do WooCommerce. Quando o site está configurado para permitir o acesso de convidados a documentos (onde wt pklist print button access for não está definido como logged in), invasores não autenticados podem recuperar informações confidenciais de clientes — incluindo nomes, endereços de faturamento e envio, números de telefone, produtos comprados, preços, impostos e metadados da fatura — ao fornecer o ID do pedido alvo e o endereço de e-mail de faturamento associado.

Recomendações Atualize para uma versão posterior a 5.0.2. Como mitigação temporária, defina a configuração wt pklist print button access for como logged in para restringir o acesso a documentos apenas a usuários autenticados.