CVE-2026-16750
ŚrednieCVSS 5.3Streszczenie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa, we wszystkich wersjach do 1.4.120 włącznie, jest podatna na nieautoryzowany dostęp do danych z powodu braku kontroli autoryzacji w funkcji mvl_ajax_dealer_load_cars(). Umożliwia to nieuwierzytelnionym atakującym pobieranie szkiców, oczekujących, prywatnych i przyszłych ogłoszeń samochodowych należących do dowolnych użytkowników.
Ocena ryzyka
Podatność umożliwia nieautoryzowanym osobom dostęp do niepublicznych ogłoszeń, co może prowadzić do wycieku danych i naruszenia prywatności użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki Motors do najnowszej wersji, która zawiera poprawkę. Należy również ograniczyć dostęp do punktów końcowych AJAX i wdrożyć odpowiednie kontrole autoryzacji.
Inne podatności w Motors – Car Dealership & Classified Listings Plugin
Zobacz wszystkie- CVE-2026-13114Wysokie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na trwałe ataki XSS przez treść komentarzy i informacje biograficzne użytkownika we wszystkich wersjach do 1.4.112 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-12435Średnie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa do wersji 1.4.111 zawiera podatność polegającą na pominięciu autoryzacji. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może oznaczyć lub odznaczyć dowolne ogłoszenie innego użytkownika jako sprzedane, wykorzystując ważny token nonce z własnego ogłoszenia.
Oryginalny opis (angielski, źródło NVD)
The Motors – Car Dealership & Classified Listings Plugin plugin for WordPress is vulnerable to unauthorized access of data due to missing authorization checks in mvl_ajax_dealer_load_cars() function in all versions up to, and including, 1.4.120. This makes it possible for unauthenticated attackers to retrieve draft, pending, private, and future car listings belonging to arbitrary users.