CVE-2026-16041
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie przeprowadza autoryzacji ani sprawdzenia własności zakupu na swojej ścieżce REST do tworzenia recenzji produktów. Umożliwia to nieuwierzytelnionemu atakującemu tworzenie recenzji produktów WooCommerce z wybraną nazwą recenzenta, adresem e-mail i oceną gwiazdkową w sklepach skonfigurowanych tak, aby akceptować recenzje tylko od zweryfikowanych właścicieli.
Ocena ryzyka
Ryzyko obejmuje możliwość manipulowania recenzjami produktów, co może wpłynąć na reputację sklepu i zaufanie klientów. Atakujący może również tworzyć fałszywe recenzje, aby zaszkodzić sprzedawcy.
Rekomendacja
Zaleca się aktualizację wtyczki MStore API do wersji 4.21.0 lub nowszej. Należy również wdrożyć odpowiednią autoryzację i weryfikację własności zakupu na ścieżce tworzenia recenzji.
Inne podatności w MStore API
Zobacz wszystkie- CVE-2026-16038Krytyczne
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie weryfikuje płatności z bramką płatniczą przed oznaczeniem zamówienia jako opłaconego na kilku swoich punktach końcowych finalizacji płatności. Umożliwia to nieuwierzytelnionemu atakującemu oznaczenie dowolnego zamówienia jako w pełni opłaconego bez płacenia i otrzymanie towarów lub usług za darmo.
- CVE-2026-18234Niskie ryzyko· EPSS 3%
Wtyczka WordPress MStore API przed wersją 4.21.1 nie weryfikuje, czy zamówienie obsługiwane przez płatność portfelem należy do osoby żądającej, i nie potrąca salda portfela dla większości metod płatności. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.
- CVE-2026-18233Niskie ryzyko· EPSS 3%
Wtyczka MStore API dla WordPressa przed wersją 4.21.1 nie weryfikuje, czy zamówienie wskazane przez jeden z jej endpointów dostawy należy do osoby żądającej. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi, oznaczenie dowolnych zamówień jako zrealizowanych i opłaconych bez dokonania płatności.
- CVE-2026-27543Wysokie
Nieuwierzytelniona eskalacja uprawnień w wtyczce MStore API w wersjach do 4.20.0. Atakujący bez logowania może podnieść swoje uprawnienia.
- CVE-2026-16039Średnie
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie ogranicza swojego punktu końcowego zamówień dostawców do zamówień wywołującego. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym Subskrybentom, odczytanie wszystkich zamówień WooCommerce w sklepie wraz z danymi osobowymi każdego klienta.
- CVE-2026-16030Wysokie
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie weryfikuje poprawnie podpisu kryptograficznego tokenu używanego do uwierzytelniania logowania telefonicznego. Umożliwia to nieuwierzytelnionym atakującym, którzy znają numer telefonu zarejestrowanego użytkownika, sfałszowanie tokenu i przejęcie konta tego użytkownika, w tym kont administratora.
- CVE-2026-57375Średnie
Wtyczka MStore API dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 4.18.4 włącznie.
- CVE-2026-3568Średnie
Wtyczka MStore API dla WordPress do wersji 4.18.3 zawiera podatność IDOR w funkcji update_user_profile(). Uwierzytelniony użytkownik z dostępem Subscriber może modyfikować dowolne meta pola swojego konta, w tym wrażliwe jak wp_user_level, bez odpowiedniej walidacji.
Oryginalny opis (angielski, źródło NVD)
The MStore API WordPress plugin before 4.21.0 does not perform authorization or purchase-ownership checks on its REST product-review creation route, allowing an unauthenticated attacker to create WooCommerce product reviews with an attacker-chosen reviewer name, email and star rating on stores configured to accept reviews only from verified owners.