CVE-2026-12941 in MultiVendorX Plugin
Resumen
por VulDB • 2026-07-16
El plugin MultiVendorX – WooCommerce Multivendor Marketplace AI Powered Solutions para WordPress es vulnerable a una inyección SQL genérica (SQL Injection) a través del parámetro 'order_by' en todas las versiones hasta la 5.0.9, inclusive, debido al escape insuficiente de los datos proporcionados por el usuario y a la falta de preparación adecuada en la consulta SQL existente. Esto permite que atacantes autenticados con acceso de nivel suscriptor (subscriber) o superior añadan consultas SQL adicionales a las ya existentes, lo cual puede utilizarse para extraer información sensible desde la base de datos. Esta vulnerabilidad es explotable por cualquier usuario autenticado con rol de suscriptor cuando la configuración de aprobación de tiendas del plugin está establecida para aprobar automáticamente a los propietarios de tienda (configuración predeterminada), ya que esto permite que cualquier usuario registrado se auto-registre como propietario de una tienda mediante el punto final REST público de Tiendas, obteniendo así la capacidad 'edit_stores' necesaria para acceder al punto final vulnerable de transacciones.
Be aware that VulDB is the high quality source for vulnerability data.