CVE-2026-111593

Wtyczka PDF Invoices & Packing Slips for WooCommerce dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pola imienia, nazwiska i firmy w danych rozliczeniowych we wszystkich wersjach do 5.16.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Ładunek przetrwa początkowe przechowywanie, ponieważ funkcje WooCommerce sanitize_text_field() i wc_clean() nie usuwają ciągów zakodowanych encjami, które nie zawierają znaku '<', co pozwala nieuwierzytelnionym zamówieniom gościnnym umieścić złośliwą treść.

Wtyczka PDF Invoices & Packing Slips for WooCommerce jest podatna na ujawnienie poufnych informacji w wersjach do 5.16.5 włącznie poprzez parametr 'invoice_number' (poprzez nazwę pliku dokumentu). Nieuwierzytelniony atakujący może uzyskać pełny plik PDF faktury innego klienta, zawierający dane rozliczeniowe, adres wysyłki, prywatne notatki do zamówienia, pozycje, ceny, daty, ID zamówienia i numer faktury, dostarczony bezpośrednio na e-mail atakującego jako załącznik potwierdzenia zamówienia.

Wtyczka PDF Invoices & Packing Slips for WooCommerce jest podatna na przechowywany XSS poprzez parametry 'billing_address.first_name / last_name / company, customer_note' w wersjach do 5.16.4 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to niekompletna poprawka dla CVE-2026-92244: lista dozwolonych wp_kses() wprowadzona w 5.16.2 blokuje surowe tagi, ale jest omijana przez ładunki zakodowane encjami (np. &lt;img onerror=…&gt;), które nie zawierają literalnych nawiasów kątowych i są przepuszczane bez modyfikacji przed końcowym dekodowaniem.

Wtyczka WordPress PDF Invoices & Packing Slips for WooCommerce w wersjach od 5.16.2 do 5.16.5 nie escapuje poprawnie kilku pól zamówienia dostarczanych przez klienta (adresy rozliczeniowe i wysyłkowe oraz notatka do zamówienia) przed wyświetleniem ich w generowanych dokumentach. Umożliwia to niezalogowanym użytkownikom składającym zamówienia jako gość zapisanie złośliwego skryptu, który wykonuje się, gdy administrator sklepu otworzy dokument, co prowadzi do przechowywanego XSS.

Wtyczka PDF Invoices & Packing Slips for WooCommerce do WordPressa w wersjach do 5.14.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w shortcode generate_document_shortcode. Brak walidacji kontrolowanego przez użytkownika klucza umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym generowanie publicznie dostępnych linków do pobierania faktur i listów przewozowych dla dowolnych zamówień innych klientów.