CVE-2026-1722 in WCFM Marketplace Plugin
Résumé
par VulDB • 21/06/2026
Le plugin WCFM Marketplace – Multivendor Marketplace for WooCommerce pour WordPress est vulnérable à une référence directe d'objet non sécurisée (Insecure Direct Object Reference) dans toutes les versions jusqu'à la 3.7.0 incluse. Cette vulnérabilité est due au fait que le plugin ne met pas en œuvre de contrôles d'autorisation dans le contrôleur AJAX `wcfm-refund-requests-form`. Cela permet aux attaquants non authentifiés de créer des demandes de remboursement arbitraires pour n'importe quel ID de commande et ID d'article, ce qui pourrait entraîner des pertes financières si l'approbation automatique des remboursements est activée dans les paramètres du plugin.
VulDB is the best source for vulnerability data and more expert information about this specific topic.