WebToffee WooCommerce PDF Invoices: уязвимость IDOR в CVE-2026-93746 раскрывает документы заказов
В плагине WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels (версии ≤ 5.0.2) обнаружена уязвимость класса Insecure Direct Object Reference (IDOR) с оценкой CVSS 7.5 (HIGH). Неаутентифицированный злоумышленник может получить доступ к счетам, упаковочным листам и транспортным этикеткам чужих заказов, зная лишь ID заказа и связанный с ним billing email.
Подробности
Уязвимость получила идентификатор CVE-2026-93746 и оценку CVSS 7.5 (HIGH). Проблема относится к классу Insecure Direct Object Reference (IDOR) и затрагивает все версии плагина до 5.0.2 включительно. Причиной стало небезопасное решение авторизации в обработчике guest print_document_from_the_mail_link, который вызывается из print_window() на хуке init. Обработчик предоставляет доступ к печатным документам заказа, если переданный атакующим параметр 'email' (в base64-кодировке) совпадает с billing email заказа. При этом вместо секретного идентификатора WooCommerce order_key используется billing email — не являющийся секретом идентификатор. В результате, если сайт настроен на предоставление гостевого доступа к документам (параметр 'wt_pklist_print_button_access_for' не равен 'logged_in'), неаутентифицированный злоумышленник может получить любые документы других клиентов. Для этого достаточно знать ID целевого заказа и связанный с ним адрес электронной почты для выставления счёта. В зону риска попадают такие данные, как: имя клиента, адрес для выставления счёта и доставки, номер телефона, приобретённые товары, цены, налоги и метаданные счетов-фактур. Утечка подобной информации создаёт риски мошенничества, целевого фишинга и нарушения требований по защите персональных данных.Что делать
Основная рекомендация — как можно скорее обновить плагин WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels до версии выше 5.0.2, если соответствующее исправление доступно у вендора. Перед обновлением обязательно создайте резервную копию сайта и базы данных. Если немедленное обновление невозможно, рассмотрите временные меры: - измените настройку 'wt_pklist_print_button_access_for' так, чтобы доступ к документам предоставлялся только авторизованным пользователям (значение 'logged_in'), — это ограничит эксплуатацию для гостевых сценариев; - проверьте логи веб-сервера на предмет подозрительных обращений к обработчику печати документов с параметром 'email'; - ограничьте доступ к эндпоинтам генерации документов средствами WAF, если это применимо; - проинформируйте службу поддержки и клиентов о потенциальном риске при подтверждённых инцидентах. Также рекомендуется провести аудит того, какие данные могли быть скомпрометированы, и оценить необходимость уведомления затронутых лиц в соответствии с применимым законодательством. Итог: CVE-2026-93746 — показательный пример того, как использование несекретного идентификатора (billing email) вместо order_key для авторизации доступа приводит к IDOR с высоким риском. Для владельцев WooCommerce-магазинов ключевыми шагами остаются своевременное обновление плагина и минимизация гостевого доступа к конфиденциальным документам заказов.Источник: CVE Project (cvelistV5)