CVE-2026-66651
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka MultiVendorX dla WooCommerce ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 5.0.19 włącznie.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do funkcji administracyjnych, co może prowadzić do naruszenia integralności danych lub przejęcia kontroli nad sklepem.
Rekomendacja
Zaktualizuj wtyczkę MultiVendorX do najnowszej dostępnej wersji, która zawiera poprawkę. Dodatkowo sprawdź konfigurację uprawnień dostępu.
Inne podatności w MultiVendorX
Zobacz wszystkie- CVE-2026-74926Wysokie
Wtyczka WordPress MultiVendorX w wersji przed 5.0.16 nie weryfikuje, czy użytkownik jest właścicielem sklepu, na którym wykonuje operacje w jednej z tras REST API. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, nadpisanie danych dowolnego sklepu i ustawień wypłat oraz zmianę zapisu o jego właścicielu.
- CVE-2026-74925Wysokie
Wtyczka WordPress MultiVendorX przed wersją 5.0.16 nie ogranicza, kto może aktualizować jej ustawienia ról i uprawnień, pozwalając użytkownikom posiadającym rolę vendora na przyznanie tej roli uprawnień na poziomie administratora i przejęcie witryny.
- CVE-2026-66441Wysokie
Nieuwierzytelniona podatność Broken Access Control w wtyczce MultiVendorX w wersjach do 5.0.10.
- CVE-2026-16746Niskie
Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy żądany sklep należy do bieżącego użytkownika w jednym z endpointów REST API. Pozwala to użytkownikowi na poziomie sprzedawcy (vendor) na odczyt danych prowizji i finansowych innych sprzedawców.
- CVE-2026-16605Wysokie
Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy sklep docelowy w REST API należy do żądającego sprzedawcy. Umożliwia to uwierzytelnionemu sprzedawcy (Store Owner i wyżej) przeglądanie, przejmowanie, trwałe usuwanie lub modyfikowanie sklepów innych sprzedawców na rynku.
- CVE-2026-12941Średnie
Wtyczka MultiVendorX dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'order_by' w wersjach do 5.0.9 włącznie. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym dołączanie dodatkowych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in MultiVendorX MultiVendorX dc-woocommerce-multi-vendor allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects MultiVendorX: from n/a through 5.0.19.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS