CVE-2026-108695

WysokieCVSS 7.1

Opublikowano: 11/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress MultiVendorX do wersji 5.0.19 zawiera podatność nieprawidłowej autoryzacji, która pozwala kontom sprzedawców modyfikować ustawienia całego marketplace poprzez endpoint REST settings. Atakujący z rolą store_owner może wysyłać żądania POST do /wp-json/multivendorx/v1/settings, chronione jedynie uprawnieniem edit_stores, aby nadpisać ustawienia prowizji, wypłat i onboardingu.

Ocena ryzyka

Sprzedawca z rolą store_owner może zmienić kluczowe ustawienia marketplace, takie jak prowizje i wypłaty, co może prowadzić do strat finansowych i zakłócenia działania platformy.

Rekomendacja

Zaktualizuj wtyczkę MultiVendorX do wersji nowszej niż 5.0.19, która prawidłowo weryfikuje uprawnienia do endpointu ustawień, oraz przejrzyj i cofnij wszelkie nieautoryzowane zmiany ustawień marketplace.

Inne podatności w MultiVendorX WordPress plugin

CVE-2026-74927Średnie
Wtyczka MultiVendorX WordPress przed wersją 5.0.15 nie ma odpowiednich kontroli autoryzacji na jednej z tras API REST do listowania. Umożliwia to nieuwierzytelnionym użytkownikom pobieranie danych kontaktowych i wypłat sprzedawców, kwot oczekujących wypłat oraz notatek administracyjnych dołączonych do aplikacji sklepowych.

Oryginalny opis (angielski, źródło NVD)

MultiVendorX WordPress plugin through 5.0.19 contains an incorrect authorization vulnerability that allows vendor accounts to modify marketplace-wide settings via the settings REST endpoint. Attackers with the store_owner role can send POST requests to /wp-json/multivendorx/v1/settings, gated only by edit_stores, to overwrite commission, payout, and onboarding settings.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS