CVE-2026-107649
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka Events Made Easy dla WordPressa (wersje do 3.2.22 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'event[location_name]' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy administrator witryny włączy zarówno funkcję zgłaszania wydarzeń przez gości (eme_fs[guest_submit]), jak i wymuszone tworzenie lokalizacji (eme_fs[force_location_creation]), które domyślnie są wyłączone.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści strony. Ryzyko dotyczy witryn, w których włączono obie wspomniane funkcje.
Rekomendacja
Zaktualizuj wtyczkę Events Made Easy do wersji nowszej niż 3.2.22, gdy tylko będzie dostępna. Do czasu aktualizacji rozważ wyłączenie funkcji zgłaszania wydarzeń przez gości lub wymuszonego tworzenia lokalizacji.
Inne podatności w Events Made Easy
Zobacz wszystkie- CVE-2026-118634Średnie
Wtyczka Events Made Easy dla WordPressa w wersjach do 3.3.1 włącznie jest podatna na przechowywany cross-site scripting przez parametr 'width' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z rolą współautora lub wyższą może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-28162Wysokie
Podatność Cross Site Scripting (XSS) w Events Made Easy w wersjach do 3.2.5, możliwa do wykorzystania bez uwierzytelnienia.
- CVE-2026-75963Wysokie
Wtyczka Events Made Easy dla WordPressa do wersji 3.2.5 jest podatna na lokalne dołączanie plików (LFI) przez funkcję eme_single_event_page_template, co pozwala uwierzytelnionym atakującym z dostępem na poziomie contributora na dołączanie i wykonywanie dowolnych plików .php na serwerze.
- CVE-2026-14842Średnie
Wtyczka Events Made Easy dla WordPressa przed wersją 3.1.2 nie wiąże tokena autoryzacji płatności z rekordem płatności, który jest obciążany. Umożliwia to nieuwierzytelnionym atakującym zapłacenie niskiej kwoty za tanią rezerwację i oznaczenie innej, droższej rezerwacji jako w pełni opłaconej.
- CVE-2026-14843Średnie
Wtyczka Events Made Easy dla WordPressa przed wersją 3.1.4 nie weryfikuje, czy żądający jest upoważniony do modyfikacji docelowego rekordu podczas obsługi nieuwierzytelnionego żądania zmiany danych. Polega wyłącznie na publicznym nonce bez tokena na rekord lub sprawdzenia własności, co pozwala nieuwierzytelnionym atakującym nadpisać dane osobowe dowolnego rekordu osoby.
- CVE-2026-59557Średnie
Wtyczka Events Made Easy w wersji 3.1.3 i starszych zawiera podatność na nieuwierzytelniony dostęp z naruszeniem kontroli dostępu. Osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do funkcji lub danych.
Oryginalny opis (angielski, źródło NVD)
The Events Made Easy plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'event[location_name]' parameter in all versions up to, and including, 3.2.22 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This vulnerability is only exploitable when both the guest event submission feature (eme_fs[guest_submit]) and forced location creation (eme_fs[force_location_creation]) are explicitly enabled by a site administrator, as both settings default to off.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS