CVE-2025-69355
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Tickera (tickera-event-ticketing-system) w wersjach do 3.5.6.4 włącznie zawiera lukę braku autoryzacji. Pozwala ona na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Ocena ryzyka
Osoba atakująca może wykonać działania, do których nie powinna mieć uprawnień, co może prowadzić do nieautoryzowanego dostępu lub modyfikacji danych. Dotyczy to instalacji WordPress z podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę Tickera do wersji nowszej niż 3.5.6.4. Sprawdź, czy nie doszło do nieautoryzowanych zmian w konfiguracji.
Inne podatności w Tickera
Zobacz wszystkie- CVE-2026-15448Średnie
Wtyczka Tickera – Sell Tickets & Manage Events dla WordPressa w wersjach do 3.6.0.1 zawiera podatność na wstrzykiwanie SQL przez parametr 'tc_order_status_filter', umożliwiającą uwierzytelnionym użytkownikom z dostępem na poziomie personelu i wyższym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
- CVE-2026-105889Krytyczne
Podatność typu Blind SQL Injection w wtyczce Tickera do systemu biletowego. Nieprawidłowa neutralizacja specjalnych elementów w zapytaniach SQL pozwala atakującemu na ślepe wstrzyknięcie kodu SQL. Dotyczy wersji do 3.6.0.6.
- CVE-2026-82226Krytyczne
W Tickera w wersjach do 3.6.0.2 wykryto podatność na wstrzykiwanie obiektów PHP (PHP Object Injection) bez uwierzytelnienia. Podatność może pozwolić atakującemu na zdalne wykonanie kodu lub inne nieautoryzowane działania.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Tickera Tickera tickera-event-ticketing-system allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Tickera: from n/a through <= 3.5.6.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS