CVE-2026-16605
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy sklep docelowy w REST API należy do żądającego sprzedawcy. Umożliwia to uwierzytelnionemu sprzedawcy (Store Owner i wyżej) przeglądanie, przejmowanie, trwałe usuwanie lub modyfikowanie sklepów innych sprzedawców na rynku.
Ocena ryzyka
Podatność pozwala na pełne przejęcie konta innego sprzedawcy, usunięcie jego sklepu lub modyfikację danych, co może prowadzić do poważnych strat finansowych i utraty zaufania na platformie.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji 5.0.11 lub nowszej oraz wdrożenie dodatkowych kontroli dostępu w REST API.
Inne podatności w MultiVendorX
Zobacz wszystkie- CVE-2026-74926Wysokie
Wtyczka WordPress MultiVendorX w wersji przed 5.0.16 nie weryfikuje, czy użytkownik jest właścicielem sklepu, na którym wykonuje operacje w jednej z tras REST API. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, nadpisanie danych dowolnego sklepu i ustawień wypłat oraz zmianę zapisu o jego właścicielu.
- CVE-2026-74925Wysokie
Wtyczka WordPress MultiVendorX przed wersją 5.0.16 nie ogranicza, kto może aktualizować jej ustawienia ról i uprawnień, pozwalając użytkownikom posiadającym rolę vendora na przyznanie tej roli uprawnień na poziomie administratora i przejęcie witryny.
- CVE-2026-66651Średnie
Brak autoryzacji w MultiVendorX dc-woocommerce-multi-vendor pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 5.0.20 włącznie.
- CVE-2026-66441Wysokie
Nieuwierzytelniona podatność Broken Access Control w wtyczce MultiVendorX w wersjach do 5.0.10.
- CVE-2026-16746Niskie
Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy żądany sklep należy do bieżącego użytkownika w jednym z endpointów REST API. Pozwala to użytkownikowi na poziomie sprzedawcy (vendor) na odczyt danych prowizji i finansowych innych sprzedawców.
- CVE-2026-12941Średnie
Wtyczka MultiVendorX dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'order_by' w wersjach do 5.0.9 włącznie. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym dołączanie dodatkowych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
The MultiVendorX WordPress plugin before 5.0.11 does not verify that the store targeted through its REST API belongs to the requesting vendor, allowing an authenticated vendor (Store Owner and above) to view, take over, permanently delete, or modify any other vendor's store on the marketplace.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS