CVE-2026-92244
WysokieCVSS 7.2Streszczenie
Wtyczka PDF Invoices & Packing Slips for WooCommerce dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pola imienia, nazwiska i firmy w danych rozliczeniowych we wszystkich wersjach do 5.16.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Ładunek przetrwa początkowe przechowywanie, ponieważ funkcje WooCommerce sanitize_text_field() i wc_clean() nie usuwają ciągów zakodowanych encjami, które nie zawierają znaku '<', co pozwala nieuwierzytelnionym zamówieniom gościnnym umieścić złośliwą treść.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach odwiedzających stronę, co może prowadzić do kradzieży sesji lub danych. Ryzyko dotyczy wszystkich witryn z zainstalowaną podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę PDF Invoices & Packing Slips for WooCommerce do wersji nowszej niż 5.16.1. Sprawdź, czy w zamówieniach nie ma już złośliwych danych.
Inne podatności w PDF Invoices & Packing Slips for WooCommerce
Zobacz wszystkie- CVE-2026-111593Nieznane
CVE zostało odrzucone. Identyfikator zarezerwowano dla zgłoszonego problemu w wtyczce WordPress PDF Invoices & Packing Slips for WooCommerce, ale nigdy nie opublikowano. W wyniku walidacji uznano, że zgłoszone zachowanie nie jest podatnością, ponieważ rola Shop Manager mogąca wywołać narzędzie masowego usuwania i przenumerowywania faktur posiada już równoważne uprawnienia, więc nie przekracza granicy uprawnień.
- CVE-2026-109217Średnie
Wtyczka PDF Invoices & Packing Slips for WooCommerce jest podatna na ujawnienie poufnych informacji w wersjach do 5.16.5 włącznie poprzez parametr 'invoice_number' (poprzez nazwę pliku dokumentu). Nieuwierzytelniony atakujący może uzyskać pełny plik PDF faktury innego klienta, zawierający dane rozliczeniowe, adres wysyłki, prywatne notatki do zamówienia, pozycje, ceny, daty, ID zamówienia i numer faktury, dostarczony bezpośrednio na e-mail atakującego jako załącznik potwierdzenia zamówienia.
- CVE-2026-107750Wysokie
Wtyczka PDF Invoices & Packing Slips for WooCommerce jest podatna na przechowywany XSS poprzez parametry 'billing_address.first_name / last_name / company, customer_note' w wersjach do 5.16.4 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to niekompletna poprawka dla CVE-2026-92244: lista dozwolonych wp_kses() wprowadzona w 5.16.2 blokuje surowe tagi, ale jest omijana przez ładunki zakodowane encjami (np. <img onerror=…>), które nie zawierają literalnych nawiasów kątowych i są przepuszczane bez modyfikacji przed końcowym dekodowaniem.
- CVE-2026-111578Wysokie
Wtyczka WordPress PDF Invoices & Packing Slips for WooCommerce w wersjach od 5.16.2 do 5.16.5 nie escapuje poprawnie kilku pól zamówienia dostarczanych przez klienta (adresy rozliczeniowe i wysyłkowe oraz notatka do zamówienia) przed wyświetleniem ich w generowanych dokumentach. Umożliwia to niezalogowanym użytkownikom składającym zamówienia jako gość zapisanie złośliwego skryptu, który wykonuje się, gdy administrator sklepu otworzy dokument, co prowadzi do przechowywanego XSS.
- CVE-2026-13116Średnie
Wtyczka PDF Invoices & Packing Slips for WooCommerce do WordPressa w wersjach do 5.14.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w shortcode generate_document_shortcode. Brak walidacji kontrolowanego przez użytkownika klucza umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym generowanie publicznie dostępnych linków do pobierania faktur i listów przewozowych dla dowolnych zamówień innych klientów.
Oryginalny opis (angielski, źródło NVD)
The PDF Invoices & Packing Slips for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Billing First Name / Last Name / Company Fields in all versions up to, and including, 5.16.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The payload survives initial storage because WooCommerce's sanitize_text_field() and wc_clean() do not strip entity-encoded strings containing no literal '<' character, allowing unauthenticated guest-checkout orders to plant the malicious content.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS