CVE-2026-93341
ŚrednieCVSS 4.3Streszczenie
Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_send_refund, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na tworzenie żądań zwrotu dla dowolnych zamówień. Podając dowolne ID zamówienia, atakujący mogą składać fałszywe żądania zwrotu, co prowadzi do zakłóceń na rynku i nieautoryzowanych działań na zamówieniach innych użytkowników.
Ocena ryzyka
Atakujący mogą zakłócać działanie marketplace, tworząc fałszywe zwroty, co może prowadzić do strat finansowych i niezadowolenia klientów. Wymaga to zalogowania, ale dostęp subskrybenta jest łatwy do zdobycia.
Rekomendacja
Zaktualizuj wtyczkę MarketKing do wersji 2.1.72 lub nowszej. Wdróż dodatkowe weryfikacje autoryzacji dla akcji związanych ze zwrotami.
Inne podatności w MarketKing
Zobacz wszystkie- CVE-2026-93344Średnie
Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera lukę braku autoryzacji w akcji AJAX marketking_get_page_content, która umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym dostęp do dowolnych stron panelu administratora sprzedawcy poprzez podanie dowolnego ID użytkownika sprzedawcy. Atakujący mogą ominąć kontrolę autoryzacji, przesyłając docelowe ID sprzedawcy w żądaniu, aby uzyskać dostęp do stron wypłat, raportów finansowych i treści pulpitu sprzedawcy należących do dowolnego sprzedawcy na rynku.
- CVE-2026-93343Średnie
Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_admin_vendors_ajax, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na pobranie pełnego katalogu sprzedawców. Wysyłając spreparowane żądanie AJAX, mogą uzyskać wewnętrzne ID, nazwy użytkowników i adresy e-mail wszystkich zarejestrowanych sprzedawców, ujawniając dane osobowe.
- CVE-2026-93342Średnie
Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_duplicate_product, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na duplikowanie dowolnych produktów sprzedawców. Atakujący mogą pominąć weryfikację właściciela, skopiować listę produktów każdego sprzedawcy, w tym prywatne metadane, i przypisać kopię do własnego konta bez zgody ofiary.
- CVE-2026-27399Średnie
Wtyczka MarketKing dla WordPressa w wersji 2.1.40 i starszych zawiera podatność na złamaną kontrolę dostępu, którą może wykorzystać niezalogowany atakujący.
- CVE-2026-85311Średnie
Brak autoryzacji we wtyczce MarketKing od Kings Plugins umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.1.60 włącznie.
Oryginalny opis (angielski, źródło NVD)
MarketKing plugin for WordPress before 2.1.72 contains a missing authorization vulnerability in the marketking_send_refund AJAX action that allows authenticated attackers with subscriber-level access or higher to create refund requests against any order by supplying an arbitrary order ID. Attackers can submit crafted AJAX requests targeting any order ID to create fraudulent refund requests against orders they did not place, enabling marketplace disruption and unauthorized interference with other users' orders.