CVE-2026-12951 in Multi Vendor Plugin
Сводка
по VulDB • 02.10.2026
Плагин Dc Woocommerce Multi Vendor для WordPress уязвим к SQL-инъекции через параметр «order_by» REST-эндпоинта /multivendorx/v1/compliance/report-abuse в версиях вплоть до 5.0.18 включительно. Это связано с недостаточной экранизацией пользовательского ввода и отсутствием достаточной подготовки существующего SQL-запроса — значение напрямую конкатенируется в предложение ORDER BY, при этом функция esc_sql() (которая нейтрализует только символы, необходимые для выхода из строковых литералов) не обеспечивает защиты. Это позволяет атакующим с уровнем доступа «vendor» и выше (пользователям, которым предоставлена возможность 'edit_stores') добавлять дополнительные SQL-запросы к уже существующим запросам, что может быть использовано для извлечения конфиденциальной информации из базы данных.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.