CVE-2026-109217

Nome do Software Vulnerável e Versões Afetadas PDF Invoices & Packing Slips for WooCommerce versões anteriores a 5.16.6

Descrição Existe um problema que permite que atacantes não autenticados extraiam o PDF completo da fatura de outro cliente. Esta exposição inclui a identidade de faturamento, endereço de entrega, notas privadas do pedido, itens da linha, preços, datas, ID do pedido e número da fatura, que são entregues no e-mail do atacante como um anexo de confirmação de pedido. A falha é desencadeada através do parâmetro invoice number (via document filename). A exploração é possível se a opção de redefinição anual do número da fatura do plugin estiver ativada e o pedido de checkout como convidado do atacante disparar um e-mail de processamento dentro de 60 segundos de um pedido de vítima que compartilhe o mesmo número de fatura redefinido anualmente.

Recomendações Atualize para a versão 5.16.6 ou posterior. Desative a opção de redefinição anual do número da fatura como medida de mitigação temporária.