CVE-2026-74925
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress MultiVendorX przed wersją 5.0.16 nie ogranicza, kto może aktualizować jej ustawienia ról i uprawnień, pozwalając użytkownikom posiadającym rolę vendora na przyznanie tej roli uprawnień na poziomie administratora i przejęcie witryny.
Ocena ryzyka
Użytkownik z rolą vendora może przejąć pełną kontrolę nad witryną WordPress, co prowadzi do nieautoryzowanego dostępu i modyfikacji danych.
Rekomendacja
Należy zaktualizować wtyczkę MultiVendorX do wersji 5.0.16 lub nowszej, aby naprawić podatność.
Inne podatności w MultiVendorX
Zobacz wszystkie- CVE-2026-74926Wysokie
Wtyczka WordPress MultiVendorX w wersji przed 5.0.16 nie weryfikuje, czy użytkownik jest właścicielem sklepu, na którym wykonuje operacje w jednej z tras REST API. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, nadpisanie danych dowolnego sklepu i ustawień wypłat oraz zmianę zapisu o jego właścicielu.
- CVE-2026-66651Średnie
Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce MultiVendorX w wersjach do 5.0.14. Atak nie wymaga uwierzytelnienia.
- CVE-2026-66441Wysokie
Nieuwierzytelniona podatność Broken Access Control w wtyczce MultiVendorX w wersjach do 5.0.10.
- CVE-2026-16746Niskie
Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy żądany sklep należy do bieżącego użytkownika w jednym z endpointów REST API. Pozwala to użytkownikowi na poziomie sprzedawcy (vendor) na odczyt danych prowizji i finansowych innych sprzedawców.
- CVE-2026-16605Wysokie
Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy sklep docelowy w REST API należy do żądającego sprzedawcy. Umożliwia to uwierzytelnionemu sprzedawcy (Store Owner i wyżej) przeglądanie, przejmowanie, trwałe usuwanie lub modyfikowanie sklepów innych sprzedawców na rynku.
- CVE-2026-12941Średnie
Wtyczka MultiVendorX dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'order_by' w wersjach do 5.0.9 włącznie. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym dołączanie dodatkowych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
The MultiVendorX WordPress plugin before 5.0.16 does not restrict who can update its role and capability settings, allowing users holding its vendor role to grant that role administrator-level capabilities and take over the site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS