CVE-2026-74927

ŚrednieCVSS 5.3

Opublikowano: 02/09/2026(UTC)Zaktualizowano: 03/09/2026(UTC)Przetłumaczono: 02/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka MultiVendorX WordPress przed wersją 5.0.15 nie ma odpowiednich kontroli autoryzacji na jednej z tras API REST do listowania. Umożliwia to nieuwierzytelnionym użytkownikom pobieranie danych kontaktowych i wypłat sprzedawców, kwot oczekujących wypłat oraz notatek administracyjnych dołączonych do aplikacji sklepowych.

Ocena ryzyka

Ryzyko obejmuje ujawnienie poufnych danych finansowych i administracyjnych sprzedawców, co może prowadzić do kradzieży tożsamości, oszustw lub naruszenia zaufania.

Rekomendacja

Zaleca się aktualizację wtyczki MultiVendorX do wersji 5.0.15 lub nowszej, która dodaje odpowiednie kontrole autoryzacji na trasach API REST.

Inne podatności w MultiVendorX WordPress Plugin

CVE-2026-108695Wysokie
Wtyczka WordPress MultiVendorX do wersji 5.0.19 zawiera podatność nieprawidłowej autoryzacji, która pozwala kontom sprzedawców modyfikować ustawienia całego marketplace poprzez endpoint REST settings. Atakujący z rolą store_owner może wysyłać żądania POST do /wp-json/multivendorx/v1/settings, chronione jedynie uprawnieniem edit_stores, aby nadpisać ustawienia prowizji, wypłat i onboardingu.

Oryginalny opis (angielski, źródło NVD)

The MultiVendorX WordPress plugin before 5.0.15 does not have proper authorisation controls on one of its REST API listing routes, allowing unauthenticated users to retrieve vendor contact and payout details, pending payout amounts, and administrative notes attached to store applications.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS