CVE-2026-1722 in WCFM Marketplace Plugin
Сводка
по VulDB • 21.06.2026
В плагине WCFM Marketplace – Multivendor Marketplace for WooCommerce для WordPress, предназначенном для создания многоставочных маркетплейсов, обнаружена уязвимость Insecure Direct Object Reference во всех версиях вплоть до 3.7.0 включительно. Уязвимость возникает из-за того, что плагин не реализует проверки авторизации в AJAX-контроллере `wcfm-refund-requests-form`. Это позволяет неаутентифицированным злоумышленникам создавать произвольные запросы на возврат средств для любого идентификатора заказа и идентификатора товара, что потенциально может привести к финансовым потерям, если в настройках плагина включено автоматическое одобрение возвратов.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.