CVE-2026-81428
ŚrednieCVSS 6.5Streszczenie
Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie weryfikuje własności ani typu obiektu identyfikatorów dostarczanych przez użytkownika podczas zapisywania wariantów produktów, co pozwala uwierzytelnionym użytkownikom z rolą sprzedawcy na modyfikowanie wariantów produktów należących do innych sprzedawców oraz zmianę statusu i tytułu dowolnych wpisów poprzez IDOR.
Ocena ryzyka
Sprzedawcy mogą modyfikować produkty innych sprzedawców, co może prowadzić do naruszenia integralności danych, oszustw lub zakłócenia działania sklepu.
Rekomendacja
Zaktualizuj wtyczkę WC Vendors do wersji 2.7.2.1 lub nowszej, która zawiera poprawkę. Dodatkowo przeprowadź audyt uprawnień i upewnij się, że weryfikacja własności jest egzekwowana.
Inne podatności w WC Vendors
Zobacz wszystkie- CVE-2026-81427Średnie
Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie weryfikuje, czy sprzedawca wysyłający zmianę statusu wysyłki zamówienia z front-endu jest właścicielem danego zamówienia, co pozwala każdemu uwierzytelnionemu sprzedawcy oznaczyć zamówienie innego sprzedawcy jako wysłane, dodać notatkę do zamówienia fałszywie przypisaną ofierze oraz wywołać e-mail z powiadomieniem o wysyłce do klienta.
- CVE-2026-81426Średnie
Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie posiada ochrony CSRF na niektórych akcjach zmiany statusu wysyłki zamówień z front-endu, co może pozwolić atakującym na nakłonienie zalogowanego sprzedawcy do zmiany statusu wysyłki własnych zamówień za pomocą spreparowanego żądania.
- CVE-2026-15351Średnie
Wtyczka WC Vendors dla WordPressa do wersji 2.7.0 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'status'. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie menedżera sklepu i wyżej dołączanie dodatkowych zapytań SQL, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.
Oryginalny opis (angielski, źródło NVD)
The WC Vendors WordPress plugin before 2.7.2.1 does not verify ownership or the object type of user-supplied IDs when saving product variations, allowing authenticated users with the vendor role to modify product variations belonging to other vendors, and to change the status and title of arbitrary posts, via IDOR.