CVE-2026-93746

WordPress için geliştirilen WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels eklentisinin 5.0.2 ve önceki sürümleri, init üzerinde print_window() tarafından gönderilen guest print_document_from_the_mail_link işleyicisinin 'email' parametresi üzerinden Güvensiz Doğrudan Nesne Referansı (IDOR) zafiyetine sahiptir. Bu durum, işleyicinin bir siparişin yazdırılabilir belgelerine erişim yetkisini, WooCommerce order_key gerektirmek yerine saldırgan tarafından sağlanan (base64 ile kodlanmış) 'email' değerinin siparişin fatura e-postasıyla (gizli olmayan bir tanımlayıcı) eşleşmesi durumunda vermesinden kaynaklanmaktadır. Site, belgelere konuk erişimine izin verecek şekilde yapılandırıldığında ('wt_pklist_print_button_access_for' != 'logged_in'), kimliği doğrulanmamış saldırganların hedef sipariş kimliğini ve ilgili fatura e-posta adresini bilerek; müşteri adı, fatura/teslimat adresi, telefon numarası, satın alınan ürünler, fiyatlar, vergiler ve fatura meta verileri dahil olmak üzere herhangi bir diğer müşterinin faturasını, paketleme listesini, teslimat notunu, sevkiyat etiketini veya nakliye etiketini almasını mümkün kılar.