CVE-2025-12130
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka WC Vendors – WooCommerce Multivendor, WooCommerce Marketplace, Product Vendors dla WordPressa jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 2.6.4 włącznie. Brak lub nieprawidłowa walidacja nonce w endpointcie /vendor_dashboard/product/delete/ pozwala nieuwierzytelnionemu atakującemu usuwać produkty sprzedawców przez sfałszowane żądanie, jeśli nakłoni administratora do kliknięcia linku.
Ocena ryzyka
Atakujący może usuwać produkty sprzedawców, powodując straty finansowe i zakłócenia w działaniu marketplace.
Rekomendacja
Zaktualizuj wtyczkę WC Vendors do wersji nowszej niż 2.6.4 lub ją wyłącz, jeśli poprawka nie jest dostępna.
Inne podatności w WC Vendors
Zobacz wszystkie- CVE-2026-81428Średnie
Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie weryfikuje własności ani typu obiektu identyfikatorów dostarczanych przez użytkownika podczas zapisywania wariantów produktów, co pozwala uwierzytelnionym użytkownikom z rolą sprzedawcy na modyfikowanie wariantów produktów należących do innych sprzedawców oraz zmianę statusu i tytułu dowolnych wpisów poprzez IDOR.
- CVE-2026-81427Średnie
Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie weryfikuje, czy sprzedawca wysyłający zmianę statusu wysyłki zamówienia z front-endu jest właścicielem danego zamówienia, co pozwala każdemu uwierzytelnionemu sprzedawcy oznaczyć zamówienie innego sprzedawcy jako wysłane, dodać notatkę do zamówienia fałszywie przypisaną ofierze oraz wywołać e-mail z powiadomieniem o wysyłce do klienta.
- CVE-2026-81426Średnie
Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie posiada ochrony CSRF na niektórych akcjach zmiany statusu wysyłki zamówień z front-endu, co może pozwolić atakującym na nakłonienie zalogowanego sprzedawcy do zmiany statusu wysyłki własnych zamówień za pomocą spreparowanego żądania.
- CVE-2026-15351Średnie
Wtyczka WC Vendors dla WordPressa do wersji 2.7.0 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'status'. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie menedżera sklepu i wyżej dołączanie dodatkowych zapytań SQL, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.
Oryginalny opis (angielski, źródło NVD)
The WC Vendors – WooCommerce Multivendor, WooCommerce Marketplace, Product Vendors plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 2.6.4. This is due to missing or incorrect nonce validation on the /vendor_dashboard/product/delete/ endpoint. This makes it possible for unauthenticated attackers to delete vendor products via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS