CVE-2026-12941 in MultiVendorX Plugin
Résumé
par VulDB • 16/07/2026
Le plugin WordPress MultiVendorX – WooCommerce Multivendor Marketplace AI Powered Solutions présente une vulnérabilité générique d'injection SQL (SQL Injection) via le paramètre 'order_by' dans toutes les versions jusqu'à la 5.0.9 incluse, en raison d'une échappement insuffisant du paramètre fourni par l'utilisateur et d'un manque de préparation adéquate de la requête SQL existante. Cela permet aux attaquants authentifiés disposant d’un accès au niveau « abonné » (subscriber) ou supérieur d’ajouter des requêtes SQL supplémentaires à des requêtes déjà existantes, ce qui peut être utilisé pour extraire des informations sensibles depuis la base de données. Cette vulnérabilité est exploitable par tout utilisateur authentifié ayant un rôle d'abonné lorsque le paramètre d'approbation du magasin dans les paramètres du plugin est configuré pour approuver automatiquement les propriétaires de magasins (ce qui correspond à la configuration par défaut), car cela permet à n’importe quel utilisateur connecté de s’enregistrer lui-même en tant que store_owner via l’endpoint REST public Stores, obtenant ainsi la capacité edit_stores nécessaire pour accéder à l'endpoint transactions vulnérable.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.