CVE-2026-118634
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Events Made Easy dla WordPressa w wersjach do 3.3.1 włącznie jest podatna na przechowywany cross-site scripting przez parametr 'width' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z rolą współautora lub wyższą może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Wstrzyknięte skrypty mogą wykonywać się w przeglądarkach użytkowników, umożliwiając kradzież sesji, przejęcie konta lub inne działania w kontekście ofiary.
Rekomendacja
Zaktualizuj wtyczkę Events Made Easy do wersji nowszej niż 3.3.1. Do czasu aktualizacji ogranicz role współautorów i przeglądaj treści pod kątem podejrzanych skryptów.
Inne podatności w Events Made Easy
Zobacz wszystkie- CVE-2026-107649Średnie
Wtyczka Events Made Easy dla WordPressa (wersje do 3.2.22 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'event[location_name]' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy administrator witryny włączy zarówno funkcję zgłaszania wydarzeń przez gości (eme_fs[guest_submit]), jak i wymuszone tworzenie lokalizacji (eme_fs[force_location_creation]), które domyślnie są wyłączone.
- CVE-2026-28162Wysokie
Podatność Cross Site Scripting (XSS) w Events Made Easy w wersjach do 3.2.5, możliwa do wykorzystania bez uwierzytelnienia.
- CVE-2026-75963Wysokie
Wtyczka Events Made Easy dla WordPressa do wersji 3.2.5 jest podatna na lokalne dołączanie plików (LFI) przez funkcję eme_single_event_page_template, co pozwala uwierzytelnionym atakującym z dostępem na poziomie contributora na dołączanie i wykonywanie dowolnych plików .php na serwerze.
- CVE-2026-14842Średnie
Wtyczka Events Made Easy dla WordPressa przed wersją 3.1.2 nie wiąże tokena autoryzacji płatności z rekordem płatności, który jest obciążany. Umożliwia to nieuwierzytelnionym atakującym zapłacenie niskiej kwoty za tanią rezerwację i oznaczenie innej, droższej rezerwacji jako w pełni opłaconej.
- CVE-2026-14843Średnie
Wtyczka Events Made Easy dla WordPressa przed wersją 3.1.4 nie weryfikuje, czy żądający jest upoważniony do modyfikacji docelowego rekordu podczas obsługi nieuwierzytelnionego żądania zmiany danych. Polega wyłącznie na publicznym nonce bez tokena na rekord lub sprawdzenia własności, co pozwala nieuwierzytelnionym atakującym nadpisać dane osobowe dowolnego rekordu osoby.
- CVE-2026-59557Średnie
Wtyczka Events Made Easy w wersji 3.1.3 i starszych zawiera podatność na nieuwierzytelniony dostęp z naruszeniem kontroli dostępu. Osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do funkcji lub danych.
Oryginalny opis (angielski, źródło NVD)
The Events Made Easy plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'width' parameter in all versions up to, and including, 3.3.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS