Плагин MultiVendorX WordPress до версии 5.0.15 не имеет надлежащего контроля авторизации на одном из маршрутов листинга REST API, что позволяет неаутентифицированным пользователям получать контактные данные поставщика и сведения о выплатах, суммы ожидающих выплат и административные примечания, прикрепленные к приложениям магазина.
Показать оригинальное описание (EN)
The MultiVendorX WordPress plugin before 5.0.15 does not have proper authorisation controls on one of its REST API listing routes, allowing unauthenticated users to retrieve vendor contact and payout details, pending payout amounts, and administrative notes attached to store applications.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1