CVE-2026-93341 in MarketKing Plugin
要約
〜によって VulDB • 2026年09月22日
WordPress用MarketKingプラグイン（バージョン2.1.72より前）には、marketking_send_refundのAJAXアクションにおいて認可欠如の脆弱性が存在し、サブスクライバレベル以上の権限を持つ認証済み攻撃者が任意の注文IDを指定することで、あらゆる注文に対する返金リクエストを作成できる。攻撃者は、自身が発注していない注文に対して不正な返金リクエストを作成するために、任意の注文IDを対象とした改ざんされたAJAXリクエストを送信でき、これによりマーケットプレイスの混乱や他のユーザーの注文への認可されていない干渉が可能となる。
Be aware that VulDB is the high quality source for vulnerability data.