CVE-2026-62000
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka WCFM Marketplace (wc-multivendor-marketplace) firmy WC Lovers zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 3.8.2.
Ocena ryzyka
Brak odpowiedniej autoryzacji może pozwolić nieuprawnionym użytkownikom na dostęp do funkcji lub danych, które powinny być chronione, co może prowadzić do naruszenia bezpieczeństwa witryny.
Rekomendacja
Należy zaktualizować wtyczkę WCFM Marketplace do wersji nowszej niż 3.8.2, jeśli jest dostępna, lub zastosować zalecenia producenta. Zaleca się również przegląd konfiguracji uprawnień.
Inne podatności w WCFM Marketplace
Zobacz wszystkie- CVE-2026-83562Średnie
Podatność XSS (Cross Site Scripting) z poziomu użytkownika o roli Contributor w wtyczce WCFM Marketplace w wersjach do 3.8.2. Użytkownik z rolą Contributor może wstrzyknąć złośliwy skrypt.
- CVE-2026-81286Krytyczne
Podatność pozwala na nieuwierzytelnione wstrzyknięcie SQL w wersjach WCFM Marketplace do 3.8.1 włącznie.
- CVE-2026-12126Średnie
Wtyczka WCFM Marketplace dla WordPressa zawiera podatność na trwałe ataki XSS w wersjach do 3.7.3 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia w polu 'post_title' załączników. Uwierzytelniony atakujący z dostępem na poziomie Sprzedawcy lub wyższym może wstrzyknąć dowolny kod JavaScript, który wykona się przy każdym dostępie do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in WC Lovers WCFM Marketplace wc-multivendor-marketplace allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects WCFM Marketplace: from n/a through 3.8.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS