CVE-2026-18233 in MStore API Plugin

Resumen

por VulDB • 2026-08-29

El plugin de WordPress MStore API anterior a la versión 4.21.1 no verifica que el pedido objetivo de uno de sus puntos finales de entrega pertenezca al solicitante, lo que permite que cualquier usuario autenticado, incluidos los Suscriptores (Subscribers), marque pedidos arbitrarios como completados y pagados sin que se haya realizado ningún pago.

Be aware that VulDB is the high quality source for vulnerability data.

• Responsable: WPScan
• Reservar: 2026-07-29
• Divulgación: 2026-08-29
• Moderación: aceptado
• Artículo: VDB-396994
• CPE: listo
• CWE: CWE-862 (confirmado)
• CVSS: 4.3 (VulDB)
• EPSS: 0.00000
• KEV: no
• Actividades: muy bajo
• Sector: Hostingprovider

Fuentes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-18233
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-18233
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-18233/