CVE-2026-104399

Wtyczka Motors (motors-car-dealership-classified-listings) firmy StylemixThemes zawiera podatność SQL Injection typu blind. Problem występuje w wersjach od początku do 1.4.126 włącznie.

Podatność SQL Injection w wtyczce Motors (motors-car-dealership-classified-listings) firmy StylemixThemes umożliwia atakującemu wykonanie ślepego wstrzyknięcia SQL. Problem dotyczy wersji od n/a do 1.4.109.

Wtyczka Motors firmy StylemixThemes jest podatna na brak autoryzacji w wersjach do 1.4.108 włącznie, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Motors dla WordPressa przed wersją 1.4.124 nie weryfikuje poprawnie, czy użytkownik jest uprawniony do modyfikacji ogłoszenia przed przetworzeniem jednej z akcji zarządzania ogłoszeniami. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym ustawianie metadanych na postach, których nie posiadają, w tym nadpisywanie cen produktów. Wykorzystanie jest możliwe tylko wtedy, gdy WooCommerce jest aktywny i opcja płatnych wyróżnionych ogłoszeń jest włączona, co nie jest domyślną konfiguracją.

Wtyczka WordPress Motors w wersji przed 1.4.124 nie sanityzuje i nie escapuje ustawienia odznaki ogłoszenia przed wyświetleniem go wewnątrz atrybutu HTML. Umożliwia to użytkownikom z niestandardową, przypisaną przez administratora rolą zarządzania ogłoszeniami wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy ogłoszenie jest wyświetlane przez dowolnego odwiedzającego, w tym administratora.

Wtyczka Motors w wersji przed 1.4.121 nie weryfikuje uprawnień do wyświetlania nieopublikowanych ogłoszeń użytkownika. Umożliwia to nieuwierzytelnionym atakującym odczytanie szkiców, ogłoszeń oczekujących i prywatnych ogłoszeń samochodowych dowolnego autora — w tym tytułów, cen, adresów URL multimediów i notatek sprzedawcy — podając jedynie numeryczny identyfikator użytkownika.

Podatność Broken Access Control z uprawnieniami subskrybenta w wtyczce Motors w wersjach 1.4.113 i starszych.

Wtyczka Motors od StylemixThemes zawiera podatność typu brak autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Motors od nieznanej wersji początkowej do wersji przed 5.6.85.

Wersje Motors do 1.4.109 mają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.

Wersje silnika poniżej 1.4.107 mają problem z kontrolą dostępu dla subskrybentów, co może prowadzić do nieautoryzowanego dostępu do zasobów.