CVE-2026-16058
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka YayCurrency dla WordPressa przed wersją 3.3.5 nie przeprowadza żadnych kontroli uprawnień ani własności w kilku swoich modułach obsługi integracji multi-sprzedawców, które są dostępne dla nieuwierzytelnionych użytkowników, co pozwala każdemu na odczyt sum zamówień sklepu oraz zarobków sprzedawców, ksiąg bilansowych i historii wypłat poprzez iterowanie identyfikatorów.
Ocena ryzyka
Ujawnienie danych finansowych sklepu i sprzedawców może prowadzić do naruszenia poufności i potencjalnych oszustw.
Rekomendacja
Zaktualizuj wtyczkę YayCurrency do wersji 3.3.5 lub nowszej, która zawiera poprawki zabezpieczeń.
Oryginalny opis (angielski, źródło NVD)
The YayCurrency WordPress plugin before 3.3.5 does not perform any capability or ownership check on several of its multi-vendor integration handlers that are reachable by unauthenticated users, allowing anyone to read the store's order totals and its vendors' earnings, balance ledgers, and withdrawal histories by iterating identifiers.