CVE-2026-66651

W wtyczce MultiVendorX w wersjach do 5.0.20 występuje podatność Cross Site Scripting (XSS) umożliwiająca atak użytkownikowi z rolą subskrybenta.

Wtyczka WordPress MultiVendorX w wersji przed 5.0.16 nie weryfikuje, czy użytkownik jest właścicielem sklepu, na którym wykonuje operacje w jednej z tras REST API. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, nadpisanie danych dowolnego sklepu i ustawień wypłat oraz zmianę zapisu o jego właścicielu.

Wtyczka WordPress MultiVendorX przed wersją 5.0.16 nie ogranicza, kto może aktualizować jej ustawienia ról i uprawnień, pozwalając użytkownikom posiadającym rolę vendora na przyznanie tej roli uprawnień na poziomie administratora i przejęcie witryny.

Nieuwierzytelniona podatność Broken Access Control w wtyczce MultiVendorX w wersjach do 5.0.10.

Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy żądany sklep należy do bieżącego użytkownika w jednym z endpointów REST API. Pozwala to użytkownikowi na poziomie sprzedawcy (vendor) na odczyt danych prowizji i finansowych innych sprzedawców.

Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy sklep docelowy w REST API należy do żądającego sprzedawcy. Umożliwia to uwierzytelnionemu sprzedawcy (Store Owner i wyżej) przeglądanie, przejmowanie, trwałe usuwanie lub modyfikowanie sklepów innych sprzedawców na rynku.

Wtyczka MultiVendorX dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'order_by' w wersjach do 5.0.9 włącznie. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym dołączanie dodatkowych zapytań SQL.