CVE-2026-74926
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress MultiVendorX w wersji przed 5.0.16 nie weryfikuje, czy użytkownik jest właścicielem sklepu, na którym wykonuje operacje w jednej z tras REST API. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, nadpisanie danych dowolnego sklepu i ustawień wypłat oraz zmianę zapisu o jego właścicielu.
Ocena ryzyka
Każdy zalogowany użytkownik może modyfikować dane i ustawienia wypłat dowolnego sklepu oraz przejąć nad nim kontrolę. Prowadzi to do naruszenia integralności danych i potencjalnych strat finansowych.
Rekomendacja
Zaktualizuj wtyczkę MultiVendorX do wersji 5.0.16 lub nowszej. Sprawdź konfigurację ról i uprawnień oraz zweryfikuj integralność danych sklepów.
Inne podatności w MultiVendorX
Zobacz wszystkie- CVE-2026-74925Wysokie
Wtyczka WordPress MultiVendorX przed wersją 5.0.16 nie ogranicza, kto może aktualizować jej ustawienia ról i uprawnień, pozwalając użytkownikom posiadającym rolę vendora na przyznanie tej roli uprawnień na poziomie administratora i przejęcie witryny.
- CVE-2026-66651Średnie
Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce MultiVendorX w wersjach do 5.0.14. Atak nie wymaga uwierzytelnienia.
- CVE-2026-66441Wysokie
Nieuwierzytelniona podatność Broken Access Control w wtyczce MultiVendorX w wersjach do 5.0.10.
- CVE-2026-16746Niskie
Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy żądany sklep należy do bieżącego użytkownika w jednym z endpointów REST API. Pozwala to użytkownikowi na poziomie sprzedawcy (vendor) na odczyt danych prowizji i finansowych innych sprzedawców.
- CVE-2026-16605Wysokie
Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy sklep docelowy w REST API należy do żądającego sprzedawcy. Umożliwia to uwierzytelnionemu sprzedawcy (Store Owner i wyżej) przeglądanie, przejmowanie, trwałe usuwanie lub modyfikowanie sklepów innych sprzedawców na rynku.
- CVE-2026-12941Średnie
Wtyczka MultiVendorX dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'order_by' w wersjach do 5.0.9 włącznie. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym dołączanie dodatkowych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
The MultiVendorX WordPress plugin before 5.0.16 does not verify that a user owns the store they are acting on in one of its REST API routes, allowing any authenticated user, such as a subscriber, to overwrite any store's details and payout settings and to replace the record of who owns it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS