CVE-2026-18234
Niskie ryzyko· EPSS 3%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress MStore API przed wersją 4.21.1 nie weryfikuje, czy zamówienie obsługiwane przez płatność portfelem należy do osoby żądającej, i nie potrąca salda portfela dla większości metod płatności. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.
Ocena ryzyka
Atakujący mogą oznaczać zamówienia jako opłacone bez płacenia, co prowadzi do strat finansowych i naruszenia integralności procesu zamówień.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji, jeśli dostępna, i wdróż dodatkową weryfikację własności zamówienia oraz potrącanie salda portfela po stronie serwera.
Inne podatności w MStore API
Zobacz wszystkie- CVE-2026-16038Krytyczne
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie weryfikuje płatności z bramką płatniczą przed oznaczeniem zamówienia jako opłaconego na kilku swoich punktach końcowych finalizacji płatności. Umożliwia to nieuwierzytelnionemu atakującemu oznaczenie dowolnego zamówienia jako w pełni opłaconego bez płacenia i otrzymanie towarów lub usług za darmo.
- CVE-2026-18233Niskie ryzyko· EPSS 3%
Wtyczka MStore API dla WordPressa przed wersją 4.21.1 nie weryfikuje, czy zamówienie wskazane przez jeden z jej endpointów dostawy należy do osoby żądającej. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi, oznaczenie dowolnych zamówień jako zrealizowanych i opłaconych bez dokonania płatności.
- CVE-2026-27543Wysokie
Nieuwierzytelniona eskalacja uprawnień w wtyczce MStore API w wersjach do 4.20.0. Atakujący bez logowania może podnieść swoje uprawnienia.
- CVE-2026-16041Wysokie
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie przeprowadza autoryzacji ani sprawdzenia własności zakupu na swojej ścieżce REST do tworzenia recenzji produktów. Umożliwia to nieuwierzytelnionemu atakującemu tworzenie recenzji produktów WooCommerce z wybraną nazwą recenzenta, adresem e-mail i oceną gwiazdkową w sklepach skonfigurowanych tak, aby akceptować recenzje tylko od zweryfikowanych właścicieli.
- CVE-2026-16039Średnie
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie ogranicza swojego punktu końcowego zamówień dostawców do zamówień wywołującego. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym Subskrybentom, odczytanie wszystkich zamówień WooCommerce w sklepie wraz z danymi osobowymi każdego klienta.
- CVE-2026-16030Wysokie
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie weryfikuje poprawnie podpisu kryptograficznego tokenu używanego do uwierzytelniania logowania telefonicznego. Umożliwia to nieuwierzytelnionym atakującym, którzy znają numer telefonu zarejestrowanego użytkownika, sfałszowanie tokenu i przejęcie konta tego użytkownika, w tym kont administratora.
- CVE-2026-57375Średnie
Wtyczka MStore API dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 4.18.4 włącznie.
- CVE-2026-3568Średnie
Wtyczka MStore API dla WordPress do wersji 4.18.3 zawiera podatność IDOR w funkcji update_user_profile(). Uwierzytelniony użytkownik z dostępem Subscriber może modyfikować dowolne meta pola swojego konta, w tym wrażliwe jak wp_user_level, bez odpowiedniej walidacji.
Oryginalny opis (angielski, źródło NVD)
The MStore API WordPress plugin before 4.21.1 does not verify that the order targeted by its wallet payment handling belongs to the requester, and does not deduct the wallet balance for most payment methods, allowing any authenticated user, including Subscribers, to mark arbitrary orders as paid without any payment being taken.