CVE-2026-16746
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy żądany sklep należy do bieżącego użytkownika w jednym z endpointów REST API. Pozwala to użytkownikowi na poziomie sprzedawcy (vendor) na odczyt danych prowizji i finansowych innych sprzedawców.
Ocena ryzyka
Podatność umożliwia nieautoryzowany dostęp do poufnych danych finansowych innych sprzedawców, co może prowadzić do naruszenia prywatności i potencjalnych oszustw.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 5.0.11 lub nowszej oraz przegląd logów dostępu do REST API w celu wykrycia nieautoryzowanych prób.
Oryginalny opis (angielski, źródło NVD)
The MultiVendorX WordPress plugin before 5.0.11 does not verify that the requested store belongs to the current user in one of its REST API endpoints, allowing any vendor-level user to read other vendors' commission and financial data.