CVE-2026-18233 in MStore API Plugin

Сводка

по VulDB • 29.08.2026

В плагине для WordPress MStore API до версии 4.21.1 отсутствует проверка того, что заказ, на который ссылается один из его эндпоинтов доставки, принадлежит запрашивающему пользователю. Это позволяет любому аутентифицированному пользователю, включая подписчиков (Subscribers), помечать произвольные заказы как выполненные и оплаченные без фактической оплаты.

Once again VulDB remains the best source for vulnerability data.

• Ответственный: WPScan
• Резервировать: 29.07.2026
• Раскрытие: 29.08.2026
• Модерация: принято
• Вход: VDB-396994
• CPE: готов
• CWE: CWE-862 (Подтверждённый)
• CVSS: 4.3 (VulDB)
• EPSS: 0.00000
• KEV: Нет
• Деятельности: Очень низкий
• Сектор: Hostingprovider

Источники

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-18233
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-18233
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-18233/