CVE-2026-9857

Nome do Software Vulnerável e Versões Afetadas Invoice123 versões anteriores a 1.7.1

Description Existe uma falha de bypass de autorização porque o software não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem explorar isso para sobrescrever a chave de API armazenada em wp options, modificar as configurações do plugin e alterar dados de taxas de impostos do WooCommerce na tabela wp woocommerce tax rates. Isso é realizado por meio das ações AJAX s123 submit api key() e s123 submit invoice settings().

Recommendations Atualize o Invoice123 para uma versão posterior a 1.7.0. Como medida de mitigação temporária, restrinja o acesso às ações AJAX s123 submit api key() e s123 submit invoice settings().