CVE-2026-9612

Nome do Software Vulnerável e Versões Afetadas WhatsOrder – Instant Checkout for WooCommerce versões anteriores a 1.0.2

Description O plugin é suscetível à exposição de informações sensíveis através da função yapacdev generate order pdf. Atacantes não autenticados podem extrair informações de identificação pessoal (PII) e detalhes do pedido — como nomes completos, endereços de e-mail, números de telefone, endereços de cobrança, itens encomendados, quantidades, preços, cupons, métodos de envio e totais do pedido — enumerando IDs de pedido sequenciais. Isso ocorre porque os arquivos HTML das faturas são armazenados no diretório publicamente acessível wp-content/uploads/whatsorder invoices/ sem uma regra de negação .htaccess ou proteção index.php, permitindo downloads diretos via HTTP sem autenticação.

Recommendations Atualize o plugin para uma versão posterior à 1.0.1. Restrinja o acesso ao diretório wp-content/uploads/whatsorder invoices/ para evitar downloads não autorizados de arquivos de fatura.