CVE-2026-13173
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje uprawnień bieżącego użytkownika do edycji innych użytkowników przed przypisaniem ról i aktualizacją metadanych podczas tworzenia mówcy, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na modyfikację ról i metadanych innych użytkowników.
Ocena ryzyka
Użytkownicy o niskich uprawnieniach mogą eskalować swoje uprawnienia lub zmieniać role innych, co może prowadzić do nieautoryzowanego dostępu do funkcji administracyjnych.
Rekomendacja
Zaktualizuj wtyczkę do wersji 4.1.21 lub nowszej, która zawiera poprawki weryfikacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
The Eventin WordPress plugin before 4.1.21 does not verify the current user's permission to edit other users before assigning roles and updating user metadata during speaker creation, allowing users with contributor-level access and above to modify other users' roles and metadata.