CVE-2026-13170
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie waliduje poprawnie ustawienia ścieżki szablonu przed użyciem go do dołączenia lokalnego pliku, co pozwala użytkownikom z dostępem na poziomie edytora i wyższym na dołączanie i wykonywanie dowolnych lokalnych plików PHP.
Ocena ryzyka
Użytkownicy z uprawnieniami edytora mogą wykonywać dowolny kod PHP na serwerze, co prowadzi do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaktualizuj wtyczkę Eventin do wersji 4.1.20 lub nowszej, która zawiera poprawki walidacji ścieżek.
Inne podatności w Eventin WordPress plugin
Zobacz wszystkie- CVE-2026-13175Średnie
Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje własności przed umożliwieniem modyfikacji lub usunięcia wpisów harmonogramu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na zmianę lub usunięcie wpisów utworzonych przez innych użytkowników.
- CVE-2026-13174Wysokie
Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje własności ani uprawnień przed usunięciem kont użytkowników, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na trwałe usunięcie kont innych użytkowników.
- CVE-2026-13173Niskie
Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje uprawnień bieżącego użytkownika do edycji innych użytkowników przed przypisaniem ról i aktualizacją metadanych podczas tworzenia mówcy, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na modyfikację ról i metadanych innych użytkowników.
- CVE-2026-13169Wysokie
Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje prawidłowo własności wydarzeń przed umożliwieniem ich modyfikacji, usunięcia lub przypisania do innego autora, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na zmianę, usunięcie lub przejęcie wydarzeń utworzonych przez innych, w tym administratorów.
Oryginalny opis (angielski, źródło NVD)
The Eventin WordPress plugin before 4.1.20 does not properly validate a template path setting before using it to include a local file, allowing users with editor-level access and above to include and execute arbitrary local PHP files.