CVE-2026-93343
ŚrednieCVSS 6.5Streszczenie
Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_admin_vendors_ajax, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na pobranie pełnego katalogu sprzedawców. Wysyłając spreparowane żądanie AJAX, mogą uzyskać wewnętrzne ID, nazwy użytkowników i adresy e-mail wszystkich zarejestrowanych sprzedawców, ujawniając dane osobowe.
Ocena ryzyka
Ujawnienie danych osobowych sprzedawców może prowadzić do naruszenia prywatności i potencjalnych ataków phishingowych. Wymaga to zalogowania, ale każdy użytkownik z podstawowym dostępem może to wykorzystać.
Rekomendacja
Należy zaktualizować wtyczkę MarketKing do wersji 2.1.72 lub nowszej. Zaleca się również przegląd uprawnień użytkowników i ograniczenie dostępu do funkcji administratora.
Inne podatności w MarketKing
Zobacz wszystkie- CVE-2026-93344Średnie
Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera lukę braku autoryzacji w akcji AJAX marketking_get_page_content, która umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym dostęp do dowolnych stron panelu administratora sprzedawcy poprzez podanie dowolnego ID użytkownika sprzedawcy. Atakujący mogą ominąć kontrolę autoryzacji, przesyłając docelowe ID sprzedawcy w żądaniu, aby uzyskać dostęp do stron wypłat, raportów finansowych i treści pulpitu sprzedawcy należących do dowolnego sprzedawcy na rynku.
- CVE-2026-93342Średnie
Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_duplicate_product, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na duplikowanie dowolnych produktów sprzedawców. Atakujący mogą pominąć weryfikację właściciela, skopiować listę produktów każdego sprzedawcy, w tym prywatne metadane, i przypisać kopię do własnego konta bez zgody ofiary.
- CVE-2026-93341Średnie
Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_send_refund, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na tworzenie żądań zwrotu dla dowolnych zamówień. Podając dowolne ID zamówienia, atakujący mogą składać fałszywe żądania zwrotu, co prowadzi do zakłóceń na rynku i nieautoryzowanych działań na zamówieniach innych użytkowników.
- CVE-2026-27399Średnie
Wtyczka MarketKing dla WordPressa w wersji 2.1.40 i starszych zawiera podatność na złamaną kontrolę dostępu, którą może wykorzystać niezalogowany atakujący.
- CVE-2026-85311Średnie
Brak autoryzacji we wtyczce MarketKing od Kings Plugins umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.1.60 włącznie.
Oryginalny opis (angielski, źródło NVD)
MarketKing plugin for WordPress before 2.1.72 contains a missing authorization vulnerability in the marketking_admin_vendors_ajax AJAX action that allows authenticated attackers with subscriber-level access or higher to retrieve the complete vendor directory by sending a crafted AJAX request. Attackers can exploit the absence of capability checks in the vendor management action to retrieve internal user IDs, usernames, and email addresses of all registered vendors, exposing personally identifiable information to any logged-in user regardless of role.