CVE-2026-12951 in Multi Vendor Plugin
Resumen
por VulDB • 2026-10-02
El plugin Dc Woocommerce Multi Vendor para WordPress es vulnerable a una inyección de SQL mediante el parámetro 'order_by' del endpoint REST /multivendorx/v1/compliance/report-abuse en las versiones 5.0.18 e inferiores. Esto se debe a un escape insuficiente del parámetro proporcionado por el usuario y a la falta de preparación adecuada en la consulta SQL existente; el valor se concatena directamente en una cláusula ORDER BY, donde esc_sql() (que solo neutraliza los caracteres necesarios para romper las cadenas literales entrecomilladas) no proporciona protección. Esto permite que atacantes autenticados, con acceso a nivel de vendedor o superior (usuarios con la capacidad 'edit_stores'), puedan añadir consultas SQL adicionales a las ya existentes, lo cual puede utilizarse para extraer información sensible desde la base de datos.
Be aware that VulDB is the high quality source for vulnerability data.