CVE-2026-97219 MStore API 权限控制不当漏洞
影响已认证用户可将未付款订单改为已付款状态，从而免费获取商品
AI 研判
MStore API 是 WordPress 平台上的电商相关插件，4.22.1 之前版本未限制客户可更新的订单字段。任意可自行注册账号的已认证用户可借此篡改自己订单的支付或履约状态。
影响范围
MStore API WordPress 插件
MStore API WordPress 插件 4.22.1 之前的版本，具体受影响版本范围暂无公开信息。
漏洞详情
漏洞属于权限控制不当（越权修改字段）。插件在处理订单更新请求时未对可写字段做白名单限制，导致普通客户账号也能提交支付状态、履约状态等本应仅由商家或系统控制的字段。攻击者只需注册账号并下单，再将订单状态改为已付款或已完成，即可在未付款情况下取得商品。
利用条件与风险
利用前提是目标站点开放用户自助注册且使用该插件，攻击者无需高权限即可实施，实战中可造成直接的经济损失。
修复建议
升级 MStore API WordPress 插件至 4.22.1 或更高版本；若暂无法升级，可限制用户自助注册或对订单状态更新接口增加服务端字段白名单与权限校验。
原始情报
The MStore API WordPress plugin before 4.22.1 does not restrict which fields of an order a customer may update, allowing any authenticated user with a self-registerable account to change the status of their own unpaid order to a paid or fulfilled state and receive the goods without paying.