CVE-2026-18234mediumCWE-862

CVE-2026-18234: fallo de gravedad media en MStore API

MStore API < 4.21.1 - Subscriber+ Arbitrary Order Payment Bypass via Wallet

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear MStore API

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

33Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 6.5epss 0.3%
The MStore API WordPress plugin before 4.21.1 does not verify that the order targeted by its wallet payment handling belongs to the requester, and does not deduct the wallet balance for most payment methods, allowing any authenticated user, including Subscribers, to mark arbitrary orders as paid without any payment being taken.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Productos afectados
Unknown · MStore API
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — MStore API

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-3077—MStore API < 3.9.8 - Unauthenticated Blind SQLiEPSS 5.5%CVE-2021-24148—MStore API < 3.2.0 - Authentication Bypass With Sign In With AppleEPSS 3.4%CVE-2023-3076—MStore API < 3.9.9 - Unauthenticated Privilege EscalationEPSS 2.2%CVE-2023-3131—MStore API < 3.9.7 - Subscriber+ Unauthorized Settings UpdateEPSS 0.6%CVE-2026-16038CRITICALMStore API < 4.21.0 - Unauthenticated Payment Bypass via Multiple Payment GatewaysEPSS 0.4%CVE-2026-16030HIGHMStore API < 4.21.0 - Unauthenticated Account Takeover via Firebase Phone AuthenticationEPSS 0.4%