CVE-2026-3568
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka MStore API dla WordPress do wersji 4.18.3 zawiera podatność IDOR w funkcji update_user_profile(). Uwierzytelniony użytkownik z dostępem Subscriber może modyfikować dowolne meta pola swojego konta, w tym wrażliwe jak wp_user_level, bez odpowiedniej walidacji.
Ocena ryzyka
Atakujący może eskalować swoje uprawnienia (np. do administratora) lub modyfikować pola związane z autoryzacją, co może prowadzić do przejęcia konta lub ataków XSS.
Rekomendacja
Zaleca się aktualizację wtyczki MStore API do najnowszej wersji, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w MStore API
Zobacz wszystkie- CVE-2026-13447Krytyczne
Wtyczka Mstore Api dla WordPressa jest podatna na obejście uwierzytelniania przez fałszowanie JWT w wersjach do 4.20.0 włącznie. Wynika to z braku weryfikacji podpisu kryptograficznego w funkcji FirebasePhoneAuthHelper::verify_id_token(), która dekoduje i weryfikuje roszczenia tokena ID Firebase (alg, kid, aud, iss), ale nigdy nie wywołuje openssl_verify() ani żadnego odpowiednika w celu weryfikacji podpisu JWT względem rzeczywistych kluczy publicznych Google. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie tokena JWT Firebase Phone Auth podpisanego własną parą kluczy RSA i podszycie się pod dowolny numer telefonu, co prowadzi do nieautoryzowanego dostępu do istniejących kont WordPress lub tworzenia nowych dowolnych kont.
- CVE-2026-16038Krytyczne
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie weryfikuje płatności z bramką płatniczą przed oznaczeniem zamówienia jako opłaconego na kilku swoich punktach końcowych finalizacji płatności. Umożliwia to nieuwierzytelnionemu atakującemu oznaczenie dowolnego zamówienia jako w pełni opłaconego bez płacenia i otrzymanie towarów lub usług za darmo.
- CVE-2026-18234Średnie
Wtyczka WordPress MStore API przed wersją 4.21.1 nie weryfikuje, czy zamówienie obsługiwane przez płatność portfelem należy do osoby żądającej, i nie potrąca salda portfela dla większości metod płatności. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.
- CVE-2026-18233Średnie
Wtyczka MStore API dla WordPressa przed wersją 4.21.1 nie weryfikuje, czy zamówienie wskazane przez jeden z jej endpointów dostawy należy do osoby żądającej. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi, oznaczenie dowolnych zamówień jako zrealizowanych i opłaconych bez dokonania płatności.
- CVE-2026-27543Wysokie
Nieuwierzytelniona eskalacja uprawnień w wtyczce MStore API w wersjach do 4.20.0. Atakujący bez logowania może podnieść swoje uprawnienia.
- CVE-2026-16041Wysokie
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie przeprowadza autoryzacji ani sprawdzenia własności zakupu na swojej ścieżce REST do tworzenia recenzji produktów. Umożliwia to nieuwierzytelnionemu atakującemu tworzenie recenzji produktów WooCommerce z wybraną nazwą recenzenta, adresem e-mail i oceną gwiazdkową w sklepach skonfigurowanych tak, aby akceptować recenzje tylko od zweryfikowanych właścicieli.
- CVE-2026-16039Średnie
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie ogranicza swojego punktu końcowego zamówień dostawców do zamówień wywołującego. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym Subskrybentom, odczytanie wszystkich zamówień WooCommerce w sklepie wraz z danymi osobowymi każdego klienta.
- CVE-2026-16030Wysokie
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie weryfikuje poprawnie podpisu kryptograficznego tokenu używanego do uwierzytelniania logowania telefonicznego. Umożliwia to nieuwierzytelnionym atakującym, którzy znają numer telefonu zarejestrowanego użytkownika, sfałszowanie tokenu i przejęcie konta tego użytkownika, w tym kont administratora.
- CVE-2026-57375Średnie
Wtyczka MStore API dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 4.18.4 włącznie.
Oryginalny opis (angielski, źródło NVD)
The MStore API plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 4.18.3. This is due to the update_user_profile() function in controllers/flutter-user.php processing the 'meta_data' JSON parameter without any allowlist, blocklist, or validation of meta keys. The function reads raw JSON from php://input (line 1012), decodes it (line 1013), authenticates the user via cookie validation (line 1015), and then directly iterates over the user-supplied meta_data array passing arbitrary keys and values to update_user_meta() (line 1080) with no sanitization or restrictions. This makes it possible for authenticated attackers, with Subscriber-level access and above, to modify arbitrary user meta fields on their own accounts, including sensitive fields like wp_user_level (to escalate to administrator-level legacy checks), plugin-specific authorization flags (e.g., _wpuf_user_active, aiowps_account_status), and billing/profile fields with unsanitized values (potentially enabling Stored XSS in admin contexts). Note that wp_capabilities cannot be directly exploited this way because it requires a serialized array value, but wp_user_level (a simple integer) and numerous plugin-specific meta keys are exploitable.