CVE-2026-12435
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa do wersji 1.4.111 zawiera podatność polegającą na pominięciu autoryzacji. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może oznaczyć lub odznaczyć dowolne ogłoszenie innego użytkownika jako sprzedane, wykorzystując ważny token nonce z własnego ogłoszenia.
Ocena ryzyka
Atakujący może bez uprawnień modyfikować status ogłoszeń innych użytkowników, co prowadzi do oszustw, utraty zaufania i potencjalnych strat finansowych dla sprzedających.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Motors – Car Dealership & Classified Listings do najnowszej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę lub ogranicz dostęp do funkcji oznaczania jako sprzedane.
Inne podatności w Motors – Car Dealership & Classified Listings Plugin
Zobacz wszystkie- CVE-2026-6806Wysokie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na czasową ślepą iniekcję SQL przez parametry 'stm_lat/stm_lng' w wersjach do 1.4.109 włącznie, z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Nieuwierzytelnieni atakujący mogą dodawać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych informacji z bazy danych.
- CVE-2026-96563Średnie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'stm_f_s' we wszystkich wersjach do 1.4.124 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; nonce wymagany przez handler AJAX stm_ajax_add_a_car jest emitowany w wp_footer na każdej stronie, co ułatwia eksploatację.
- CVE-2026-16750Średnie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa, we wszystkich wersjach do 1.4.120 włącznie, jest podatna na nieautoryzowany dostęp do danych z powodu braku kontroli autoryzacji w funkcji mvl_ajax_dealer_load_cars(). Umożliwia to nieuwierzytelnionym atakującym pobieranie szkiców, oczekujących, prywatnych i przyszłych ogłoszeń samochodowych należących do dowolnych użytkowników.
- CVE-2026-13114Wysokie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na trwałe ataki XSS przez treść komentarzy i informacje biograficzne użytkownika we wszystkich wersjach do 1.4.112 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
Oryginalny opis (angielski, źródło NVD)
The Motors – Car Dealership & Classified Listings Plugin plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 1.4.111. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to mark or unmark any other user's car listing as sold by replaying a valid nonce harvested from their own listing against an arbitrary victim post ID, triggering a site-wide 'Sold' badge on the victim's listing and silently stripping its special_car featured post meta as a side effect. Exploitation requires the attacker to hold an active listing of their own (obtainable by a Subscriber via the plugin's add-listing form) in order to harvest a valid nonce for the 'stm_mark_as_sold_car' action, which can then be replayed against any other listing's post ID.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS