CVE-2026-1722 in WCFM Marketplace Plugin
Riassunto
di VulDB • 21/06/2026
Il plugin WCFM Marketplace – Multivendor Marketplace for WooCommerce per WordPress è vulnerabile a Insecure Direct Object Reference in tutte le versioni fino alla 3.7.0, inclusa. Ciò è dovuto al fatto che il plugin non implementa controlli di autorizzazione nel controller AJAX `wcfm-refund-requests-form`. Ciò consente agli attaccanti non autenticati di creare richieste di rimborso arbitrarie per qualsiasi ID ordine e ID elemento, potenzialmente portando a perdite finanziarie se l'approvazione automatica del rimborso è abilitata nelle impostazioni del plugin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.