CVE-2026-57375

Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie weryfikuje płatności z bramką płatniczą przed oznaczeniem zamówienia jako opłaconego na kilku swoich punktach końcowych finalizacji płatności. Umożliwia to nieuwierzytelnionemu atakującemu oznaczenie dowolnego zamówienia jako w pełni opłaconego bez płacenia i otrzymanie towarów lub usług za darmo.

Wtyczka WordPress MStore API przed wersją 4.21.1 nie weryfikuje, czy zamówienie obsługiwane przez płatność portfelem należy do osoby żądającej, i nie potrąca salda portfela dla większości metod płatności. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.

Wtyczka MStore API dla WordPressa przed wersją 4.21.1 nie weryfikuje, czy zamówienie wskazane przez jeden z jej endpointów dostawy należy do osoby żądającej. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi, oznaczenie dowolnych zamówień jako zrealizowanych i opłaconych bez dokonania płatności.

Nieuwierzytelniona eskalacja uprawnień w wtyczce MStore API w wersjach do 4.20.0. Atakujący bez logowania może podnieść swoje uprawnienia.

Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie przeprowadza autoryzacji ani sprawdzenia własności zakupu na swojej ścieżce REST do tworzenia recenzji produktów. Umożliwia to nieuwierzytelnionemu atakującemu tworzenie recenzji produktów WooCommerce z wybraną nazwą recenzenta, adresem e-mail i oceną gwiazdkową w sklepach skonfigurowanych tak, aby akceptować recenzje tylko od zweryfikowanych właścicieli.

Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie ogranicza swojego punktu końcowego zamówień dostawców do zamówień wywołującego. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym Subskrybentom, odczytanie wszystkich zamówień WooCommerce w sklepie wraz z danymi osobowymi każdego klienta.

Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie weryfikuje poprawnie podpisu kryptograficznego tokenu używanego do uwierzytelniania logowania telefonicznego. Umożliwia to nieuwierzytelnionym atakującym, którzy znają numer telefonu zarejestrowanego użytkownika, sfałszowanie tokenu i przejęcie konta tego użytkownika, w tym kont administratora.

Wtyczka MStore API dla WordPress do wersji 4.18.3 zawiera podatność IDOR w funkcji update_user_profile(). Uwierzytelniony użytkownik z dostępem Subscriber może modyfikować dowolne meta pola swojego konta, w tym wrażliwe jak wp_user_level, bez odpowiedniej walidacji.