CVE-2026-93344
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera lukę braku autoryzacji w akcji AJAX marketking_get_page_content, która umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym dostęp do dowolnych stron panelu administratora sprzedawcy poprzez podanie dowolnego ID użytkownika sprzedawcy. Atakujący mogą ominąć kontrolę autoryzacji, przesyłając docelowe ID sprzedawcy w żądaniu, aby uzyskać dostęp do stron wypłat, raportów finansowych i treści pulpitu sprzedawcy należących do dowolnego sprzedawcy na rynku.
Ocena ryzyka
Luka umożliwia nieautoryzowany dostęp do poufnych danych finansowych i paneli administracyjnych sprzedawców, co może prowadzić do wycieku danych, manipulacji finansowych i naruszenia zaufania na platformie marketplace.
Rekomendacja
Zaktualizuj wtyczkę MarketKing do wersji 2.1.72 lub nowszej. Dodatkowo ogranicz uprawnienia użytkowników i monitoruj aktywność AJAX pod kątem podejrzanych żądań.
Inne podatności w MarketKing
Zobacz wszystkie- CVE-2026-111847Średnie
Wtyczka MarketKing dla WooCommerce zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.1.72 włącznie.
- CVE-2026-94080Średnie
Podatność Broken Access Control w wtyczce MarketKing w wersjach do 2.1.70 włącznie. Podatność może być wykorzystana przez nieuwierzytelnionego atakującego.
- CVE-2026-93343Średnie
Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_admin_vendors_ajax, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na pobranie pełnego katalogu sprzedawców. Wysyłając spreparowane żądanie AJAX, mogą uzyskać wewnętrzne ID, nazwy użytkowników i adresy e-mail wszystkich zarejestrowanych sprzedawców, ujawniając dane osobowe.
- CVE-2026-93342Średnie
Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_duplicate_product, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na duplikowanie dowolnych produktów sprzedawców. Atakujący mogą pominąć weryfikację właściciela, skopiować listę produktów każdego sprzedawcy, w tym prywatne metadane, i przypisać kopię do własnego konta bez zgody ofiary.
- CVE-2026-93341Średnie
Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_send_refund, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na tworzenie żądań zwrotu dla dowolnych zamówień. Podając dowolne ID zamówienia, atakujący mogą składać fałszywe żądania zwrotu, co prowadzi do zakłóceń na rynku i nieautoryzowanych działań na zamówieniach innych użytkowników.
- CVE-2026-85311Średnie
Brak autoryzacji we wtyczce MarketKing od Kings Plugins umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.1.60 włącznie.
- CVE-2026-27399Średnie
Wtyczka MarketKing dla WordPressa w wersji 2.1.40 i starszych zawiera podatność na złamaną kontrolę dostępu, którą może wykorzystać niezalogowany atakujący.
- CVE-2025-58702Średnie
Wtyczka WordPress MarketKing (marketking-multivendor-marketplace-for-woocommerce) do wersji 2.0.92 jest podatna na przechowywany atak XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy kod, który zostanie zapisany i wykonany w przeglądarce użytkownika.
Oryginalny opis (angielski, źródło NVD)
MarketKing plugin for WordPress before 2.1.72 contains a missing authorization vulnerability in the marketking_get_page_content AJAX action that allows authenticated attackers with subscriber-level access or higher to access arbitrary vendor administrator panel pages by supplying an arbitrary vendor user ID. Attackers can bypass authorization controls by submitting a target vendor ID in the request to access payout pages, financial reports, and vendor dashboard content belonging to any vendor in the marketplace.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS