Qué es y cómo funciona
El plugin MultiVendorX para WordPress, en versiones anteriores a la 5.0.22, contiene una vulnerabilidad de control de acceso roto (CWE-862). El problema reside en la ruta REST /wp-json/multivendorx/v1/stores, donde el rol de store_owner posee la capacidad edit_stores sin las verificaciones adecuadas de propiedad por tienda. Esto permite a un vendedor autenticado explotar una referencia directa a objeto insegura en manejadores como visitorMap para acceder a datos de otras tiendas.
Productos y versiones afectadas
La vulnerabilidad afecta al plugin MultiVendorX para WordPress en todas las versiones anteriores a la 5.0.22.
Impacto real
Un atacante que explote esta falla puede recuperar información confidencial de otras tiendas en la misma plataforma multi-vendedor, incluyendo:
- Correos electrónicos de contacto.
- Montos de retiro pendientes.
- Datos de registro y onboarding.
- Razones de desactivación.
- Analíticas de visitantes.
Esto resulta en una brecha de confidencialidad cruzada entre inquilinos (cross-tenant).
Explotación y probabilidad
La vulnerabilidad tiene una puntuación CVSS de 6.5 (Media). Según datos de Shodan, actualmente hay 0 hosts indexados con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos directamente expuestos en internet. El INCIBE-CERT de España la clasifica con una severidad P (Por Definir/Provisional).
Qué hacer
Los administradores de sitios que utilicen el plugin MultiVendorX deben actualizar inmediatamente a la versión 5.0.22 o superior, donde este problema ha sido corregido.
| CVE | CVE-2026-127211 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 6.5 / 10 |
| CWE | CWE-862 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).