CVE-2026-27433

Wtyczka Motors (motors-car-dealership-classified-listings) firmy StylemixThemes zawiera podatność SQL Injection typu blind. Problem występuje w wersjach od początku do 1.4.126 włącznie.

Podatność SQL Injection w wtyczce Motors (motors-car-dealership-classified-listings) firmy StylemixThemes umożliwia atakującemu wykonanie ślepego wstrzyknięcia SQL. Problem dotyczy wersji od n/a do 1.4.109.

Wtyczka Motors firmy StylemixThemes jest podatna na brak autoryzacji w wersjach do 1.4.108 włącznie, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Motors od StylemixThemes w wersjach do 1.4.124 włącznie zawiera podatność polegającą na umieszczeniu wrażliwych informacji w wysyłanych danych, co pozwala na odzyskanie osadzonych poufnych danych.

Wtyczka Motors dla WordPressa przed wersją 1.4.124 nie weryfikuje poprawnie, czy użytkownik jest uprawniony do modyfikacji ogłoszenia przed przetworzeniem jednej z akcji zarządzania ogłoszeniami. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym ustawianie metadanych na postach, których nie posiadają, w tym nadpisywanie cen produktów. Wykorzystanie jest możliwe tylko wtedy, gdy WooCommerce jest aktywny i opcja płatnych wyróżnionych ogłoszeń jest włączona, co nie jest domyślną konfiguracją.

Wtyczka WordPress Motors w wersji przed 1.4.124 nie sanityzuje i nie escapuje ustawienia odznaki ogłoszenia przed wyświetleniem go wewnątrz atrybutu HTML. Umożliwia to użytkownikom z niestandardową, przypisaną przez administratora rolą zarządzania ogłoszeniami wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy ogłoszenie jest wyświetlane przez dowolnego odwiedzającego, w tym administratora.

Wtyczka Motors w wersji przed 1.4.121 nie weryfikuje uprawnień do wyświetlania nieopublikowanych ogłoszeń użytkownika. Umożliwia to nieuwierzytelnionym atakującym odczytanie szkiców, ogłoszeń oczekujących i prywatnych ogłoszeń samochodowych dowolnego autora — w tym tytułów, cen, adresów URL multimediów i notatek sprzedawcy — podając jedynie numeryczny identyfikator użytkownika.

Podatność Broken Access Control z uprawnieniami subskrybenta w wtyczce Motors w wersjach 1.4.113 i starszych.

Wersje Motors do 1.4.109 mają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.

Wersje silnika poniżej 1.4.107 mają problem z kontrolą dostępu dla subskrybentów, co może prowadzić do nieautoryzowanego dostępu do zasobów.