CVE-2026-110069
NieznaneStreszczenie
Wtyczka Modern Events Calendar Lite dla WordPressa przed wersją 7.37.0 nie wykonuje sprawdzenia uprawnień, nonce ani własności przed zwróceniem danych rezerwacji i uczestników wydarzeń. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym Subscriberom, ujawnienie imion, adresów e-mail, identyfikatorów transakcji i kwot płatności wszystkich rezerwacji w witrynie.
Ocena ryzyka
Wyciek danych osobowych i finansowych uczestników może naruszyć prywatność, prowadzić do oszustw i skutkować karami za niezgodność z RODO. Może to również zaszkodzić reputacji organizacji.
Rekomendacja
Zaktualizuj wtyczkę Modern Events Calendar Lite do wersji 7.37.0 lub nowszej. Oceń, czy doszło do naruszenia danych, i podejmij odpowiednie kroki zgodnie z przepisami o ochronie danych.
Inne podatności w Modern Events Calendar Lite
Zobacz wszystkie- CVE-2026-110070Nieznane
Wtyczka Modern Events Calendar Lite dla WordPressa przed wersją 7.36.4 nie weryfikuje, czy użytkownik jest upoważniony do edycji docelowego posta przed jego aktualizacją. Umożliwia to uwierzytelnionym użytkownikom z rolą Subscriber modyfikowanie tytułu, treści i zajawki dowolnych postów, stron i niestandardowych typów treści utworzonych przez innych użytkowników.
- CVE-2026-105067Wysokie
Podatność SQL Injection w Modern Events Calendar Lite od Webnus umożliwia ślepą iniekcję SQL. Dotyczy wersji przed 7.37.0.
Oryginalny opis (angielski, źródło NVD)
The Modern Events Calendar Lite WordPress plugin before 7.37.0 does not perform capability, nonce, or ownership checks before returning event booking and attendee data, allowing any authenticated user, including Subscribers, to disclose the names, email addresses, transaction IDs and payment amounts of every booking on the site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS