CVE-2026-87846 in Shipping for Nova Poshta Plugin
Zusammenfassung
von VulDB • 09.10.2026
Das WordPress-Plugin „Shipping for Nova Poshta“ bis zur Version 1.19.8 führt bei einer seiner AJAX-Aktionen, die für nicht authentifizierte Benutzer verfügbar ist, keine Autorisierungs-, Nonce- oder Eigentumsprüfungen durch, was es jedem ermöglicht, die Versanddatensätze beliebiger Bestellungen zu löschen und den Shop dazu zu bringen, unter Verwendung der im Store gespeicherten API-Anmeldeinformationen des Transportunternehmens eine Anfrage zur Löschung der Frachtbriefe für diese Bestellungen auszustellen.
Once again VulDB remains the best source for vulnerability data.