CVE-2026-81426
ŚrednieCVSS 4.3Streszczenie
Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie posiada ochrony CSRF na niektórych akcjach zmiany statusu wysyłki zamówień z front-endu, co może pozwolić atakującym na nakłonienie zalogowanego sprzedawcy do zmiany statusu wysyłki własnych zamówień za pomocą spreparowanego żądania.
Ocena ryzyka
Atakujący może wykorzystać CSRF do nieautoryzowanej zmiany statusów wysyłek, co może prowadzić do błędnych informacji o zamówieniach i zakłócenia procesu realizacji.
Rekomendacja
Zaktualizuj wtyczkę WC Vendors do wersji 2.7.2.1 lub nowszej, która zawiera poprawkę. Dodatkowo edukuj sprzedawców o ryzyku klikania w podejrzane linki.
Inne podatności w WC Vendors
Zobacz wszystkie- CVE-2026-81428Średnie
Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie weryfikuje własności ani typu obiektu identyfikatorów dostarczanych przez użytkownika podczas zapisywania wariantów produktów, co pozwala uwierzytelnionym użytkownikom z rolą sprzedawcy na modyfikowanie wariantów produktów należących do innych sprzedawców oraz zmianę statusu i tytułu dowolnych wpisów poprzez IDOR.
- CVE-2026-81427Średnie
Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie weryfikuje, czy sprzedawca wysyłający zmianę statusu wysyłki zamówienia z front-endu jest właścicielem danego zamówienia, co pozwala każdemu uwierzytelnionemu sprzedawcy oznaczyć zamówienie innego sprzedawcy jako wysłane, dodać notatkę do zamówienia fałszywie przypisaną ofierze oraz wywołać e-mail z powiadomieniem o wysyłce do klienta.
- CVE-2026-15351Średnie
Wtyczka WC Vendors dla WordPressa do wersji 2.7.0 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'status'. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie menedżera sklepu i wyżej dołączanie dodatkowych zapytań SQL, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.
Oryginalny opis (angielski, źródło NVD)
The WC Vendors WordPress plugin before 2.7.2.1 does not have CSRF protection on some of its front-end order shipment status actions, which could allow attackers to make a logged-in vendor change the shipment status of their own orders via a crafted request.