CVE-2026-27399

Wtyczka MarketKing dla WooCommerce zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.1.72 włącznie.

Podatność Broken Access Control w wtyczce MarketKing w wersjach do 2.1.70 włącznie. Podatność może być wykorzystana przez nieuwierzytelnionego atakującego.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera lukę braku autoryzacji w akcji AJAX marketking_get_page_content, która umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym dostęp do dowolnych stron panelu administratora sprzedawcy poprzez podanie dowolnego ID użytkownika sprzedawcy. Atakujący mogą ominąć kontrolę autoryzacji, przesyłając docelowe ID sprzedawcy w żądaniu, aby uzyskać dostęp do stron wypłat, raportów finansowych i treści pulpitu sprzedawcy należących do dowolnego sprzedawcy na rynku.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_admin_vendors_ajax, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na pobranie pełnego katalogu sprzedawców. Wysyłając spreparowane żądanie AJAX, mogą uzyskać wewnętrzne ID, nazwy użytkowników i adresy e-mail wszystkich zarejestrowanych sprzedawców, ujawniając dane osobowe.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_duplicate_product, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na duplikowanie dowolnych produktów sprzedawców. Atakujący mogą pominąć weryfikację właściciela, skopiować listę produktów każdego sprzedawcy, w tym prywatne metadane, i przypisać kopię do własnego konta bez zgody ofiary.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_send_refund, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na tworzenie żądań zwrotu dla dowolnych zamówień. Podając dowolne ID zamówienia, atakujący mogą składać fałszywe żądania zwrotu, co prowadzi do zakłóceń na rynku i nieautoryzowanych działań na zamówieniach innych użytkowników.

Brak autoryzacji we wtyczce MarketKing od Kings Plugins umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.1.60 włącznie.

Wtyczka WordPress MarketKing (marketking-multivendor-marketplace-for-woocommerce) do wersji 2.0.92 jest podatna na przechowywany atak XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy kod, który zostanie zapisany i wykonany w przeglądarce użytkownika.