CVE-2026-91023
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka Motors dla WordPressa przed wersją 1.4.124 nie weryfikuje poprawnie, czy użytkownik jest uprawniony do modyfikacji ogłoszenia przed przetworzeniem jednej z akcji zarządzania ogłoszeniami. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym ustawianie metadanych na postach, których nie posiadają, w tym nadpisywanie cen produktów. Wykorzystanie jest możliwe tylko wtedy, gdy WooCommerce jest aktywny i opcja płatnych wyróżnionych ogłoszeń jest włączona, co nie jest domyślną konfiguracją.
Ocena ryzyka
Atakujący może manipulować cenami produktów i metadanymi ogłoszeń, co prowadzi do nieautoryzowanych zmian w sklepie i potencjalnych strat finansowych.
Rekomendacja
Zaktualizuj wtyczkę Motors do wersji 1.4.124 lub nowszej. Dodatkowo sprawdź, czy opcja płatnych wyróżnionych ogłoszeń jest konieczna, i ogranicz uprawnienia subskrybentów.
Inne podatności w Motors
Zobacz wszystkie- CVE-2026-54828Wysokie
Wersje Motors do 1.4.109 mają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.
- CVE-2026-54812Krytyczne
Podatność SQL Injection w wtyczce Motors (motors-car-dealership-classified-listings) firmy StylemixThemes umożliwia atakującemu wykonanie ślepego wstrzyknięcia SQL. Problem dotyczy wersji od n/a do 1.4.109.
- CVE-2026-91022Średnie
Wtyczka WordPress Motors w wersji przed 1.4.124 nie sanityzuje i nie escapuje ustawienia odznaki ogłoszenia przed wyświetleniem go wewnątrz atrybutu HTML. Umożliwia to użytkownikom z niestandardową, przypisaną przez administratora rolą zarządzania ogłoszeniami wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy ogłoszenie jest wyświetlane przez dowolnego odwiedzającego, w tym administratora.
- CVE-2026-91016Średnie
Wtyczka Motors w wersji przed 1.4.121 nie weryfikuje uprawnień do wyświetlania nieopublikowanych ogłoszeń użytkownika. Umożliwia to nieuwierzytelnionym atakującym odczytanie szkiców, ogłoszeń oczekujących i prywatnych ogłoszeń samochodowych dowolnego autora — w tym tytułów, cen, adresów URL multimediów i notatek sprzedawcy — podając jedynie numeryczny identyfikator użytkownika.
- CVE-2026-66693Średnie
Podatność Broken Access Control z uprawnieniami subskrybenta w wtyczce Motors w wersjach 1.4.113 i starszych.
- CVE-2026-27433Średnie
Wtyczka Motors w wersjach do 5.6.80 zawiera podatność na nieuwierzytelniony, uszkodzony mechanizm kontroli dostępu. Osoba atakująca bez uwierzytelnienia może ominąć zabezpieczenia i uzyskać nieautoryzowany dostęp do funkcji lub danych.
- CVE-2026-39515Średnie
Wersje silnika poniżej 1.4.107 mają problem z kontrolą dostępu dla subskrybentów, co może prowadzić do nieautoryzowanego dostępu do zasobów.
Oryginalny opis (angielski, źródło NVD)
The Motors WordPress plugin before 1.4.124 does not properly verify that a user is authorised to modify a listing before processing one of its listing management actions, allowing authenticated attackers with subscriber-level access and above to set metadata on posts they do not own, including overwriting product prices. Exploitation is possible only when WooCommerce is active and the Motors WordPress plugin before 1.4.124's paid featured-listing option is enabled, neither of which is a default configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS