CVE-2026-18233mediumCWE-862

CVE-2026-18233: fallo de gravedad media en MStore API

MStore API < 4.21.1 - Subscriber+ Arbitrary Order Completion

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear MStore API

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

33Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 6.5epss 0.3%
The MStore API WordPress plugin before 4.21.1 does not verify that the order targeted by one of its delivery endpoints belongs to the requester, allowing any authenticated user, including Subscribers, to mark arbitrary orders as completed and paid without any payment being made.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Productos afectados
Unknown · MStore API
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — MStore API

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-3077—MStore API < 3.9.8 - Unauthenticated Blind SQLiEPSS 5.5%CVE-2021-24148—MStore API < 3.2.0 - Authentication Bypass With Sign In With AppleEPSS 3.4%CVE-2023-3076—MStore API < 3.9.9 - Unauthenticated Privilege EscalationEPSS 2.2%CVE-2023-3131—MStore API < 3.9.7 - Subscriber+ Unauthorized Settings UpdateEPSS 0.6%CVE-2026-16038CRITICALMStore API < 4.21.0 - Unauthenticated Payment Bypass via Multiple Payment GatewaysEPSS 0.4%CVE-2026-16030HIGHMStore API < 4.21.0 - Unauthenticated Account Takeover via Firebase Phone AuthenticationEPSS 0.4%