CVE-2026-97219
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka MStore API dla WordPressa przed wersją 4.22.1 nie ogranicza, które pola zamówienia może aktualizować klient. Każdy uwierzytelniony użytkownik z możliwością samodzielnej rejestracji może zmienić status własnego nieopłaconego zamówienia na opłacone lub zrealizowane i odebrać towar bez płacenia.
Ocena ryzyka
Atakujący może uzyskać towary bez dokonania płatności, co prowadzi do strat finansowych i nadużyć w procesie zamówień.
Rekomendacja
Zaktualizuj wtyczkę MStore API do wersji 4.22.1 lub nowszej i zweryfikuj, czy endpointy aktualizacji zamówień ograniczają modyfikowalne pola oraz wymagają odpowiednich uprawnień.
Inne podatności w MStore API WordPress Plugin
Zobacz wszystkie- CVE-2023-3077Krytyczne
Wtyczka MStore API dla WordPressa w wersjach przed 3.9.8 nie sanitizuje i nie ucieka parametru przed użyciem go w zapytaniu SQL, co prowadzi do podatności na ślepą injekcję SQL, którą mogą wykorzystać nieautoryzowani użytkownicy. Wykorzystanie tej podatności jest możliwe tylko, jeśli właściciel strony zdecyduje się na płatny dostęp do funkcji pro wtyczki oraz korzysta z wtyczki woocommerce-appointments.
- CVE-2023-3076Krytyczne
Wtyczka MStore API dla WordPressa przed wersją 3.9.9 pozwala odwiedzającym na tworzenie kont użytkowników z dowolną rolą poprzez interfejs API REST. Możliwość ta jest dostępna tylko dla właścicieli stron, którzy opłacili dostęp do funkcji pro wtyczki.
- CVE-2023-3209Niskie
Wtyczka MStore API dla WordPressa w wersjach przed 3.9.7 nie zabezpiecza większości swoich akcji AJAX, nie implementując kontroli uprawnień, kontroli nonce ani ich kombinacji.
- CVE-2023-3131Średnie
Wtyczka MStore API dla WordPressa przed wersją 3.9.7 nie zabezpiecza większości swoich akcji AJAX, nie implementując kontroli uprawnień, kontroli nonce ani ich kombinacji.
Oryginalny opis (angielski, źródło NVD)
The MStore API WordPress plugin before 4.22.1 does not restrict which fields of an order a customer may update, allowing any authenticated user with a self-registerable account to change the status of their own unpaid order to a paid or fulfilled state and receive the goods without paying.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS