CVE-2025-12498
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka EventPrime – Events Calendar, Bookings and Tickets dla WordPress jest podatna na nieautoryzowane tworzenie notatek do rezerwacji z powodu braku sprawdzenia uprawnień w funkcji 'booking_add_notes' we wszystkich wersjach do 4.2.0.0 włącznie. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może dodać notatkę do widoku backendu dowolnej rezerwacji.
Ocena ryzyka
Atakujący może modyfikować dane rezerwacji, co może prowadzić do dezinformacji lub zakłócenia procesów biznesowych. Ryzyko dotyczy wszystkich witryn z zainstalowaną podatną wtyczką.
Rekomendacja
Zaktualizuj wtyczkę EventPrime do najnowszej wersji, która naprawia podatność. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie wtyczki do czasu wydania poprawki.
Inne podatności w EventPrime
Zobacz wszystkie- CVE-2026-42687Wysokie
W wersjach EventPrime do 4.3.2.1 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-42686Wysokie
W wersjach EventPrime <= 4.3.2.1 występuje podatność na atak Cross Site Scripting (XSS) skierowany do subskrybentów.
- CVE-2026-39518Wysokie
W wersjach EventPrime <= 4.3.0.0 występuje podatność na nieautoryzowany dostęp do obiektów, znana jako IDOR. Umożliwia to subskrybentom dostęp do danych, do których nie powinni mieć uprawnień.
- CVE-2026-42669Wysokie
Brak autoryzacji w EventPrime umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji EventPrime od n/a do 4.3.2.0.
- CVE-2025-63007Średnie
Podatność w wtyczce EventPrime umożliwia wstawienie wrażliwych informacji do wysyłanych danych, co pozwala atakującemu na odzyskanie osadzonych danych wrażliwych.
- CVE-2025-63006Średnie
Wtyczka EventPrime dla WordPressa ma podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji do 4.2.4.1 włącznie.
Oryginalny opis (angielski, źródło NVD)
The EventPrime – Events Calendar, Bookings and Tickets plugin for WordPress is vulnerable to unauthorized booking note creation due to a missing capability check on the 'booking_add_notes' function in all versions up to, and including, 4.2.0.0. This makes it possible for authenticated attackers, with Subscriber-level access and above, to add a note to the backend view of any booking.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS