CVE-2026-16030
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie weryfikuje poprawnie podpisu kryptograficznego tokenu używanego do uwierzytelniania logowania telefonicznego. Umożliwia to nieuwierzytelnionym atakującym, którzy znają numer telefonu zarejestrowanego użytkownika, sfałszowanie tokenu i przejęcie konta tego użytkownika, w tym kont administratora.
Ocena ryzyka
Ryzyko obejmuje przejęcie kont użytkowników, w tym administratorów, co może prowadzić do pełnej kompromitacji witryny WordPress i naruszenia danych.
Rekomendacja
Zaleca się aktualizację wtyczki MStore API do wersji 4.21.0 lub nowszej. Należy również wzmocnić weryfikację podpisu tokenów logowania telefonicznego.
Inne podatności w MStore API
Zobacz wszystkie- CVE-2026-16038Krytyczne
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie weryfikuje płatności z bramką płatniczą przed oznaczeniem zamówienia jako opłaconego na kilku swoich punktach końcowych finalizacji płatności. Umożliwia to nieuwierzytelnionemu atakującemu oznaczenie dowolnego zamówienia jako w pełni opłaconego bez płacenia i otrzymanie towarów lub usług za darmo.
- CVE-2026-18234Niskie ryzyko· EPSS 3%
Wtyczka WordPress MStore API przed wersją 4.21.1 nie weryfikuje, czy zamówienie obsługiwane przez płatność portfelem należy do osoby żądającej, i nie potrąca salda portfela dla większości metod płatności. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.
- CVE-2026-18233Niskie ryzyko· EPSS 3%
Wtyczka MStore API dla WordPressa przed wersją 4.21.1 nie weryfikuje, czy zamówienie wskazane przez jeden z jej endpointów dostawy należy do osoby żądającej. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi, oznaczenie dowolnych zamówień jako zrealizowanych i opłaconych bez dokonania płatności.
- CVE-2026-27543Wysokie
Nieuwierzytelniona eskalacja uprawnień w wtyczce MStore API w wersjach do 4.20.0. Atakujący bez logowania może podnieść swoje uprawnienia.
- CVE-2026-16041Wysokie
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie przeprowadza autoryzacji ani sprawdzenia własności zakupu na swojej ścieżce REST do tworzenia recenzji produktów. Umożliwia to nieuwierzytelnionemu atakującemu tworzenie recenzji produktów WooCommerce z wybraną nazwą recenzenta, adresem e-mail i oceną gwiazdkową w sklepach skonfigurowanych tak, aby akceptować recenzje tylko od zweryfikowanych właścicieli.
- CVE-2026-16039Średnie
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie ogranicza swojego punktu końcowego zamówień dostawców do zamówień wywołującego. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym Subskrybentom, odczytanie wszystkich zamówień WooCommerce w sklepie wraz z danymi osobowymi każdego klienta.
- CVE-2026-57375Średnie
Wtyczka MStore API dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 4.18.4 włącznie.
- CVE-2026-3568Średnie
Wtyczka MStore API dla WordPress do wersji 4.18.3 zawiera podatność IDOR w funkcji update_user_profile(). Uwierzytelniony użytkownik z dostępem Subscriber może modyfikować dowolne meta pola swojego konta, w tym wrażliwe jak wp_user_level, bez odpowiedniej walidacji.
Oryginalny opis (angielski, źródło NVD)
The MStore API WordPress plugin before 4.21.0 does not correctly verify the cryptographic signature of the token used to authenticate its phone-based login, allowing unauthenticated attackers who know a registered user's phone number to forge a token and take over that user's account, including administrator accounts.