CVE-2026-11616
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Events Calendar for GeoDirectory dla WordPressa jest podatna na eskalację uprawnień w wersjach do 2.3.28. Problem wynika z niewłaściwego przetwarzania danych wejściowych w funkcji ajax_ayi_action(), co pozwala atakującym na modyfikację ról użytkowników.
Ocena ryzyka
Atakujący z poziomem dostępu Subscriber i wyżej mogą uzyskać uprawnienia Administratora, co stwarza poważne zagrożenie dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz przegląd i wzmocnienie zabezpieczeń dotyczących przetwarzania danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
The Events Calendar for GeoDirectory plugin for WordPress is vulnerable to Privilege Escalation in versions up to and including 2.3.28. This is due to the ajax_ayi_action() handler only applying strip_tags(esc_sql()) — with no allow-list — to the attacker-controlled $_POST['type'] and $_POST['postid'] values before forwarding them to update_ayi_data(), which calls update_user_meta($current_user->ID, $rsvp_args['type'], $posts). By passing type=wp_capabilities and postid=administrator, an attacker writes ['subscriber'=>true,'administrator'=>'administrator'] into their own wp_capabilities user meta; WP_User::get_role_caps() then treats the 'administrator' array key as an active role on the next request. This makes it possible for authenticated attackers, with Subscriber-level access and above, to elevate their privileges to Administrator.