CVE-2026-77701

ŚrednieCVSS 5.3

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 28/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress WCFM Marketplace przed wersją 3.8.2 nie weryfikuje poprawnie, czy osoba żądająca zwrotu pieniędzy jest właścicielem zamówienia. Pozwala to nieuwierzytelnionym użytkownikom na tworzenie żądań zwrotu dla dowolnych zamówień z opcją płatności gościa.

Ocena ryzyka

Atakujący może generować fałszywe żądania zwrotów, co może prowadzić do strat finansowych i zakłócenia procesu realizacji zamówień.

Rekomendacja

Zaktualizuj wtyczkę WCFM Marketplace do wersji 3.8.2 lub nowszej, która zawiera poprawkę weryfikacji własności zamówienia.

Inne podatności w WCFM Marketplace WordPress plugin

CVE-2026-14196Średnie
Wtyczka WCFM Marketplace do WordPressa przed wersją 3.8.1 nie weryfikuje, czy sprzedawca jest właścicielem opinii przed umożliwieniem jej odrzucenia lub usunięcia, co pozwala każdemu sprzedawcy na modyfikację lub trwałe usunięcie opinii należących do sklepów innych sprzedawców.

Oryginalny opis (angielski, źródło NVD)

The WCFM Marketplace WordPress plugin before 3.8.2 does not correctly verify that the person requesting a refund owns the order, allowing unauthenticated users to create refund requests against any guest checkout order on the site.