CVE-2026-13174

Wtyczka Eventin dla WordPressa przed wersją 4.1.24 nie weryfikuje, czy zakończona płatność odpowiada zamówieniu, do którego jest zastosowana, potwierdzając jedynie, że bramka płatności raportuje transakcję jako udaną, a nie jej kwotę, walutę ani do którego zamówienia należy. Pozwala to nieuwierzytelnionym odwiedzającym oznaczyć nieopłacone zamówienia o dowolnej wartości jako opłacone poprzez powtórzenie transakcji z jednej prawdziwej płatności o niskiej wartości.

Wtyczka Eventin dla WordPressa do wersji 4.1.23 włącznie jest podatna na eskalację uprawnień. Funkcja PermissionManager::manage_permissions() jest zarejestrowana jako callback na filtrze map_meta_cap i bezwarunkowo zwraca zawsze prawdziwy prymityw 'exist' dla każdej kontroli uprawnień, gdy ID użytkownika wynosi 1, bez ograniczenia do uprawnień specyficznych dla wtyczki. Pozwala to uwierzytelnionym atakującym z ID 1, nawet subskrybentom, przejść wszystkie kontrole uprawnień WordPressa, w tym manage_options, edit_plugins, edit_themes, promote_users i update_core, co prowadzi do pełnego przejęcia strony i zdalnego wykonania kodu. Eksploitacja jest skuteczna tylko gdy użytkownik ID 1 został celowo zdegradowany do roli o niższych uprawnieniach; na domyślnych instalacjach, gdzie ID 1 ma rolę administratora, nie ma dodatkowego wzrostu uprawnień.

Wtyczka Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'etn_shedule_objective' w schedule_slot we wszystkich wersjach do 4.1.23 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem współtwórcy lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje własności przed umożliwieniem modyfikacji lub usunięcia wpisów harmonogramu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na zmianę lub usunięcie wpisów utworzonych przez innych użytkowników.

Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje uprawnień bieżącego użytkownika do edycji innych użytkowników przed przypisaniem ról i aktualizacją metadanych podczas tworzenia mówcy, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na modyfikację ról i metadanych innych użytkowników.

Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje prawidłowo własności wydarzeń przed umożliwieniem ich modyfikacji, usunięcia lub przypisania do innego autora, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na zmianę, usunięcie lub przejęcie wydarzeń utworzonych przez innych, w tym administratorów.

Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie waliduje poprawnie ustawienia ścieżki szablonu przed użyciem go do dołączenia lokalnego pliku, co pozwala użytkownikom z dostępem na poziomie edytora i wyższym na dołączanie i wykonywanie dowolnych lokalnych plików PHP.