CVE-2026-106932
CVE-2026-106932 · Moloni < 5.0.14 - Subscriber+ Arbitrary Order Invoice Generation via genInvoice
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
The Moloni WordPress plugin before 5.0.14 does not perform capability or nonce checks on several of its authenticated AJAX actions, relying only on whether the site holds a stored connection to its external invoicing provider, allowing any authenticated user such as a Subscriber to generate fiscal invoices for arbitrary orders, discard arbitrary orders, and create or modify products and stock.
CVSS 6.5 · Средний · EPSS 0,2% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
moloni
- Версии
- ≥ 0, < 5.0.14: Затронуто (semver)
Обновитесь до 5.0.14