CVE-2026-16750
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa, we wszystkich wersjach do 1.4.120 włącznie, jest podatna na nieautoryzowany dostęp do danych z powodu braku kontroli autoryzacji w funkcji mvl_ajax_dealer_load_cars(). Umożliwia to nieuwierzytelnionym atakującym pobieranie szkiców, oczekujących, prywatnych i przyszłych ogłoszeń samochodowych należących do dowolnych użytkowników.
Ocena ryzyka
Podatność umożliwia nieautoryzowanym osobom dostęp do niepublicznych ogłoszeń, co może prowadzić do wycieku danych i naruszenia prywatności użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki Motors do najnowszej wersji, która zawiera poprawkę. Należy również ograniczyć dostęp do punktów końcowych AJAX i wdrożyć odpowiednie kontrole autoryzacji.
Inne podatności w Motors – Car Dealership & Classified Listings Plugin
Zobacz wszystkie- CVE-2026-6806Wysokie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na czasową ślepą iniekcję SQL przez parametry 'stm_lat/stm_lng' w wersjach do 1.4.109 włącznie, z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Nieuwierzytelnieni atakujący mogą dodawać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych informacji z bazy danych.
- CVE-2026-96563Średnie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'stm_f_s' we wszystkich wersjach do 1.4.124 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; nonce wymagany przez handler AJAX stm_ajax_add_a_car jest emitowany w wp_footer na każdej stronie, co ułatwia eksploatację.
- CVE-2026-13114Wysokie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na trwałe ataki XSS przez treść komentarzy i informacje biograficzne użytkownika we wszystkich wersjach do 1.4.112 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-12435Średnie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa do wersji 1.4.111 zawiera podatność polegającą na pominięciu autoryzacji. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może oznaczyć lub odznaczyć dowolne ogłoszenie innego użytkownika jako sprzedane, wykorzystując ważny token nonce z własnego ogłoszenia.
Oryginalny opis (angielski, źródło NVD)
The Motors – Car Dealership & Classified Listings Plugin plugin for WordPress is vulnerable to unauthorized access of data due to missing authorization checks in mvl_ajax_dealer_load_cars() function in all versions up to, and including, 1.4.120. This makes it possible for unauthenticated attackers to retrieve draft, pending, private, and future car listings belonging to arbitrary users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS