CVE-2019-25214

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2019-25214
The ShopWP plugin for WordPress is vulnerable to authorization bypass due to a missing capability check on several REST API routes in versions up to, and including, 2.0.4. This makes it possible for unauthenticated attackers to call the endpoints and perform unauthorized actions such as updating the plugin's settings and injecting malicious scripts.

7.2 /10

CVSS v3 : HIGH

V3 Legend

Vector :

Exploitability : 3.9 / Impact : 2.7

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required NONE

User Interaction NONE

Confidentiality Impact LOW

Integrity Impact LOW

Availability Impact NONE

Scope CHANGED

References
Link Resource
https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=2132502%40wpshopify&new=2132502%40wpshopify&sfp_email=&sfph_mail= Patch
https://www.wordfence.com/threat-intel/vulnerabilities/id/d04f11b4-ee58-428b-aaa2-dc7d9f3e68e3?source=cve Third Party Advisory
Configurations

Configuration 1 (hide)

cpe:2.3:a:wpshop:shopwp:*:*:*:*:*:wordpress:*:*
History

02 Jan 2026, 20:16

Type Values Removed Values Added
CPE cpe:2.3:a:wpshop:shopwp:*:*:*:*:*:wordpress:*:*
References () https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=2132502%40wpshopify&new=2132502%40wpshopify&sfp_email=&sfph_mail= - () https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=2132502%40wpshopify&new=2132502%40wpshopify&sfp_email=&sfph_mail= - Patch
References () https://www.wordfence.com/threat-intel/vulnerabilities/id/d04f11b4-ee58-428b-aaa2-dc7d9f3e68e3?source=cve - () https://www.wordfence.com/threat-intel/vulnerabilities/id/d04f11b4-ee58-428b-aaa2-dc7d9f3e68e3?source=cve - Third Party Advisory
First Time Wpshop
Wpshop shopwp
Summary (es) El complemento ShopWP para WordPress es vulnerable a la omisión de autorización debido a una verificación de capacidad faltante en varias rutas de API REST en versiones hasta la 2.0.4 incluida. Esto hace posible que atacantes no autenticados llamen a los puntos finales y realicen acciones no autorizadas, como actualizar la configuración del complemento e inyectar scripts maliciosos. (es) El complemento ShopWP para WordPress es vulnerable a la omisión de autorización debido a una verificación de capacidad faltante en varias rutas de API REST en versiones hasta la 2.0.4 incluida. Esto hace posible que atacantes no autenticados llamen a los endpoints y realicen acciones no autorizadas, como actualizar la configuración del complemento e inyectar scripts maliciosos.

16 Oct 2024, 16:38

Type Values Removed Values Added
Summary
  • (es) El complemento ShopWP para WordPress es vulnerable a la omisión de autorización debido a una verificación de capacidad faltante en varias rutas de API REST en versiones hasta la 2.0.4 incluida. Esto hace posible que atacantes no autenticados llamen a los puntos finales y realicen acciones no autorizadas, como actualizar la configuración del complemento e inyectar scripts maliciosos.

16 Oct 2024, 07:15

Type Values Removed Values Added
New CVE
Information

Published : 2024-10-16 07:15

Updated : 2026-01-02 20:16

NVD link : CVE-2019-25214

Mitre link : CVE-2019-25214

CVE.ORG link : CVE-2019-25214

JSON object : View

Products Affected

wpshop

  • shopwp
CWE
CWE-862

Missing Authorization