CVE-2025-63006
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka EventPrime dla WordPressa ma podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji do 4.2.4.1 włącznie.
Ocena ryzyka
Osoba nieuprawniona może uzyskać dostęp do funkcji administracyjnych lub danych, do których nie powinna mieć dostępu, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaktualizuj wtyczkę EventPrime do najnowszej dostępnej wersji, która zawiera poprawkę tej podatności. Dodatkowo sprawdź konfigurację kontroli dostępu, aby upewnić się, że jest poprawna.
Inne podatności w EventPrime
Zobacz wszystkie- CVE-2026-42687Wysokie
W wersjach EventPrime do 4.3.2.1 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-42686Wysokie
W wersjach EventPrime <= 4.3.2.1 występuje podatność na atak Cross Site Scripting (XSS) skierowany do subskrybentów.
- CVE-2026-39518Wysokie
W wersjach EventPrime <= 4.3.0.0 występuje podatność na nieautoryzowany dostęp do obiektów, znana jako IDOR. Umożliwia to subskrybentom dostęp do danych, do których nie powinni mieć uprawnień.
- CVE-2026-42669Wysokie
Brak autoryzacji w EventPrime umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji EventPrime od n/a do 4.3.2.0.
- CVE-2025-63007Średnie
Podatność w wtyczce EventPrime umożliwia wstawienie wrażliwych informacji do wysyłanych danych, co pozwala atakującemu na odzyskanie osadzonych danych wrażliwych.
- CVE-2025-12498Średnie
Wtyczka EventPrime – Events Calendar, Bookings and Tickets dla WordPress jest podatna na nieautoryzowane tworzenie notatek do rezerwacji z powodu braku sprawdzenia uprawnień w funkcji 'booking_add_notes' we wszystkich wersjach do 4.2.0.0 włącznie. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może dodać notatkę do widoku backendu dowolnej rezerwacji.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Metagauss EventPrime eventprime-event-calendar-management allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects EventPrime: from n/a through <= 4.2.4.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS