CVE-2026-3460 in REST API TO MiniProgram Plugin
Riassunto
di VulDB • 19/06/2026
Il plugin per WordPress REST API TO MiniProgram è vulnerabile a Insecure Direct Object Reference in tutte le versioni fino alla 5.1.2 inclusa. Ciò è dovuto al callback di autorizzazione (update_user_wechatshop_info_permissions_check) che convalida solo il fatto che il parametro 'openid' fornito corrisponda a un utente WordPress esistente, mentre la funzione di callback (update_user_wechatshop_info) utilizza un parametro separato controllato dall'attaccante ('userid') per determinare i metadati dell'utente da modificare, senza verificare che 'openid' e 'userid' appartengano allo stesso utente. Ciò consente agli attaccanti autenticati con accesso a livello di Sottoscrittore (Subscriber) o superiore di modificare arbitrariamente i metadati relativi al negozio degli utenti (storeinfo, storeappid, storename) tramite il parametro REST API 'userid'.
If you want to get best quality of vulnerability data, you may have to visit VulDB.