CVE-2025-66082

Wtyczka WpEvently firmy Magepeople inc. zawiera podatność typu Basic XSS polegającą na niewłaściwej neutralizacji znaczników HTML powiązanych ze skryptami, co umożliwia wstrzyknięcie kodu. Problem dotyczy WpEvently w wersjach od n/a do 5.7.9.

Wtyczka WpEvently (wersje do 5.7.8) firmy Magepeople inc. zawiera podatność braku autoryzacji. Umożliwia ona wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka WpEvently w wersjach do 5.6.0 zawiera podatność na nieuwierzytelnione niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Oznacza to, że osoba atakująca bez logowania może uzyskać dostęp do zasobów, do których nie powinna mieć uprawnień.

Wtyczka WpEvently w wersji 5.5.0 i wcześniejszych ma podatność Broken Access Control dla subskrybentów. Użytkownicy o roli subskrybenta mogą uzyskać nieautoryzowany dostęp do funkcji administracyjnych.

Wtyczka WpEvently w wersji 5.5.0 i wcześniejszych ma podatność Broken Access Control dla kontrybutorów. Użytkownicy o roli kontrybutora mogą uzyskać nieautoryzowany dostęp do funkcji administracyjnych.

WpEvently w wersjach do 5.3.3 zawiera nieautoryzowaną podatność, która może być wykorzystana przez atakujących.

We wtyczce WpEvently dla WordPressa (do wersji 4.1.2) wykryto podatność na fałszowanie żądań międzywitrynowych (CSRF). Brak odpowiednich zabezpieczeń umożliwia atakującemu wykonanie nieautoryzowanych działań w kontekście uwierzytelnionego użytkownika.

Wtyczka WpEvently (mage-eventpress) w wersjach do 5.0.4 włącznie ma brak autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.