CVE-2026-12924

Wtyczka Eventin przed wersją 4.1.19 nieprawidłowo ogranicza zmiany, które token gościa przy kasie może autoryzować na zamówieniu. Pozwala to nieuwierzytelnionym użytkownikom oznaczyć własne nieopłacone zamówienie jako ukończone i otrzymać ważny płatny bilet bez dokonania płatności.

Wtyczka Eventin przed wersją 4.1.22 nie ogranicza dostępu do nieopublikowanych treści pod względem statusu lub własności w jednym z przestrzeni nazw REST API. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie szkiców, oczekujących i prywatnych postów należących do innych użytkowników, wraz z hasłami i zawartością postów chronionych hasłem.

Wtyczka Eventin dla WordPressa przed wersją 4.1.21 nie weryfikuje adresu URL webhooka podanego przez użytkownika ani nie sprawdza własności wydarzenia, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na wywoływanie ślepych żądań po stronie serwera do dowolnych hostów.

Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie ogranicza prawidłowo dostępu do poszczególnych rekordów zamówień, umożliwiając użytkownikom z dostępem na poziomie współautora i wyższym odczyt danych zamówień innych klientów, w tym danych osobowych, poprzez iterowanie identyfikatorów zamówień.

Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie przeprowadza kontroli autoryzacji w obsłudze rejestracji na listę oczekujących, umożliwiając nieuwierzytelnionym użytkownikom tworzenie kont użytkowników WordPressa dla dowolnych adresów e-mail oraz wstrzykiwanie rekordów zamówień.

Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie ogranicza prawidłowo dostępu do przechowywanych rekordów klientów, umożliwiając użytkownikom z dostępem na poziomie współautora i wyższym odczyt danych osobowych innych klientów, takich jak imiona i adresy e-mail.

Wtyczka Eventin do WordPressa przed wersją 4.1.16 nie autoryzuje poprawnie tworzenia zamówień i akceptuje status zamówienia dostarczony przez atakującego. Niezalogowani użytkownicy mogą tworzyć zamówienia oznaczone jako opłacone bez dokonywania płatności.

Wtyczka Eventin dla WordPressa (wersje 4.0.26 do 4.1.15) zawiera lukę w autoryzacji w funkcji payment_complete() w pliku PaymentController.php. Niezautoryzowani atakujący mogą oznaczyć nieopłacone zamówienia biletów jako zrealizowane, wysyłając spreparowany identyfikator SureCart lub hash koszyka FluentCart, co umożliwia uzyskanie dostępu do płatnych wydarzeń, kodów QR i e-maili potwierdzających bez dokonania płatności.