CVE-2026-110070
NieznaneStreszczenie
Wtyczka Modern Events Calendar Lite dla WordPressa przed wersją 7.36.4 nie weryfikuje, czy użytkownik jest upoważniony do edycji docelowego posta przed jego aktualizacją. Umożliwia to uwierzytelnionym użytkownikom z rolą Subscriber modyfikowanie tytułu, treści i zajawki dowolnych postów, stron i niestandardowych typów treści utworzonych przez innych użytkowników.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może modyfikować treści innych osób, co narusza integralność danych i może prowadzić do dezinformacji lub sabotażu. Może to podważyć zaufanie do witryny.
Rekomendacja
Zaktualizuj wtyczkę Modern Events Calendar Lite do wersji 7.36.4 lub nowszej. Sprawdź, czy treści nie zostały nieautoryzowanie zmienione.
Inne podatności w Modern Events Calendar Lite
Zobacz wszystkie- CVE-2026-110069Nieznane
Wtyczka Modern Events Calendar Lite dla WordPressa przed wersją 7.37.0 nie wykonuje sprawdzenia uprawnień, nonce ani własności przed zwróceniem danych rezerwacji i uczestników wydarzeń. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym Subscriberom, ujawnienie imion, adresów e-mail, identyfikatorów transakcji i kwot płatności wszystkich rezerwacji w witrynie.
- CVE-2026-105067Wysokie
Podatność SQL Injection w Modern Events Calendar Lite od Webnus umożliwia ślepą iniekcję SQL. Dotyczy wersji przed 7.37.0.
Oryginalny opis (angielski, źródło NVD)
The Modern Events Calendar Lite WordPress plugin before 7.36.4 does not verify that a user is authorized to edit the target post before updating it, allowing authenticated users with the Subscriber role to modify the title, content, and excerpt of arbitrary posts, pages, and custom post types created by other users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS