MStore API – 在云端创建原生 Android 和 iOS 应用 <= 4.17.4 - 未认证的有限权限提升

攻击者利用此漏洞可以获得 Store Vendor 权限，从而可能访问和修改与 WooCommerce 市场相关的敏感数据和功能。这可能包括管理产品、订单和客户信息，甚至可能影响其他用户。由于该漏洞需要 WCFM Marketplace – Multivendor Marketplace for WooCommerce 插件已安装和激活，因此攻击者的成功取决于目标系统上这两个插件的存在。如果攻击者成功获得 Store Vendor 权限，他们可能会对网站的运营和数据安全造成严重影响。

WordPress sites utilizing the MStore API plugin in conjunction with the WCFM Marketplace – Multivendor Marketplace for WooCommerce plugin are at risk. Specifically, sites with permissive role assignment configurations or those running older, unpatched versions of the MStore API plugin are particularly vulnerable.

• wordpress / composer / npm:

grep -r 'wcfm_vendor' /var/www/html/wp-content/plugins/
wp-cli plugin list | grep mstore-api

• wordpress / composer / npm:

curl -I https://your-wordpress-site.com/wp-content/plugins/mstore-api/ | grep 'X-Powered-By'

• wordpress / composer / npm:

wp plugin status mstore-api

1. 2025-05-02Disclosure

   disclosure

1. 已保留2025-04-07
2. 发布日期2025-05-02
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 MStore API 插件升级至 4.17.3 或更高版本。如果升级会导致兼容性问题，可以考虑暂时禁用 WCFM Marketplace – Multivendor Marketplace for WooCommerce 插件，直到升级完成。此外，建议审查所有用户角色和权限，确保没有未经授权的 'wcfm_vendor' 角色存在。升级后，请验证插件版本是否已成功更新，并检查是否有任何异常活动。

活跃安装数

3K已知

插件评分

3.7

需要WordPress版本

4.4+

兼容至

7.0