CVE-2026-13172
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Eventin przed wersją 4.1.22 nie ogranicza dostępu do nieopublikowanych treści pod względem statusu lub własności w jednym z przestrzeni nazw REST API. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie szkiców, oczekujących i prywatnych postów należących do innych użytkowników, wraz z hasłami i zawartością postów chronionych hasłem.
Ocena ryzyka
Ryzyko obejmuje ujawnienie poufnych treści, w tym postów prywatnych i chronionych hasłem, co może naruszyć prywatność użytkowników i bezpieczeństwo danych. Atakujący może również uzyskać hasła do postów, co może prowadzić do dalszych naruszeń.
Rekomendacja
Zaleca się aktualizację wtyczki Eventin do wersji 4.1.22 lub nowszej. Należy również sprawdzić logi dostępu do REST API pod kątem nieautoryzowanych żądań.
Inne podatności w Eventin
Zobacz wszystkie- CVE-2026-77694Średnie
Wtyczka Eventin przed wersją 4.1.19 nieprawidłowo ogranicza zmiany, które token gościa przy kasie może autoryzować na zamówieniu. Pozwala to nieuwierzytelnionym użytkownikom oznaczyć własne nieopłacone zamówienie jako ukończone i otrzymać ważny płatny bilet bez dokonania płatności.
- CVE-2026-13176Niskie
Wtyczka Eventin dla WordPressa przed wersją 4.1.21 nie weryfikuje adresu URL webhooka podanego przez użytkownika ani nie sprawdza własności wydarzenia, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na wywoływanie ślepych żądań po stronie serwera do dowolnych hostów.
- CVE-2026-13177Średnie
Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie ogranicza prawidłowo dostępu do poszczególnych rekordów zamówień, umożliwiając użytkownikom z dostępem na poziomie współautora i wyższym odczyt danych zamówień innych klientów, w tym danych osobowych, poprzez iterowanie identyfikatorów zamówień.
- CVE-2026-13171Wysokie
Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie przeprowadza kontroli autoryzacji w obsłudze rejestracji na listę oczekujących, umożliwiając nieuwierzytelnionym użytkownikom tworzenie kont użytkowników WordPressa dla dowolnych adresów e-mail oraz wstrzykiwanie rekordów zamówień.
- CVE-2026-13168Średnie
Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie ogranicza prawidłowo dostępu do przechowywanych rekordów klientów, umożliwiając użytkownikom z dostępem na poziomie współautora i wyższym odczyt danych osobowych innych klientów, takich jak imiona i adresy e-mail.
- CVE-2026-13178Wysokie
Wtyczka Eventin do WordPressa przed wersją 4.1.16 nie autoryzuje poprawnie tworzenia zamówień i akceptuje status zamówienia dostarczony przez atakującego. Niezalogowani użytkownicy mogą tworzyć zamówienia oznaczone jako opłacone bez dokonywania płatności.
- CVE-2026-13039Średnie
Wtyczka Eventin dla WordPressa (wersje 4.0.26 do 4.1.15) zawiera lukę w autoryzacji w funkcji payment_complete() w pliku PaymentController.php. Niezautoryzowani atakujący mogą oznaczyć nieopłacone zamówienia biletów jako zrealizowane, wysyłając spreparowany identyfikator SureCart lub hash koszyka FluentCart, co umożliwia uzyskanie dostępu do płatnych wydarzeń, kodów QR i e-maili potwierdzających bez dokonania płatności.
- CVE-2026-12924Średnie
Wtyczka Eventin dla WordPressa (wersje do 4.1.15 włącznie) zawiera podatność na trwałe ataki XSS przez parametr 'etn_faq_content'. Brak odpowiedniej sanitizacji danych wejściowych i kodowania wyjścia umożliwia uwierzytelnionym atakującym (od poziomu contributor wzwyż) wstrzyknięcie dowolnego kodu JavaScript, który wykona się przy każdym wyświetleniu zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The Eventin WordPress plugin before 4.1.22 does not restrict access to non-published content by status or ownership in one of its REST API namespaces, allowing unauthenticated users to retrieve draft, pending and private posts belonging to other users, along with the passwords and contents of password-protected ones.