CVE-2026-13171
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie przeprowadza kontroli autoryzacji w obsłudze rejestracji na listę oczekujących, umożliwiając nieuwierzytelnionym użytkownikom tworzenie kont użytkowników WordPressa dla dowolnych adresów e-mail oraz wstrzykiwanie rekordów zamówień.
Ocena ryzyka
Ryzyko nieautoryzowanego tworzenia kont i manipulacji danymi zamówień, co może prowadzić do spamu, oszustw i naruszenia integralności danych.
Rekomendacja
Zaktualizuj wtyczkę Eventin do wersji 4.1.20 lub nowszej, która zawiera poprawkę dodającą kontrolę autoryzacji w obsłudze listy oczekujących.
Oryginalny opis (angielski, źródło NVD)
The Eventin WordPress plugin before 4.1.20 does not perform an authorization check on its waiting-list registration handler, allowing unauthenticated users to create WordPress user accounts for arbitrary email addresses and inject order records.