CVE-2026-13176

Wtyczka Eventin przed wersją 4.1.19 nieprawidłowo ogranicza zmiany, które token gościa przy kasie może autoryzować na zamówieniu. Pozwala to nieuwierzytelnionym użytkownikom oznaczyć własne nieopłacone zamówienie jako ukończone i otrzymać ważny płatny bilet bez dokonania płatności.

Wtyczka Eventin przed wersją 4.1.22 nie ogranicza dostępu do nieopublikowanych treści pod względem statusu lub własności w jednym z przestrzeni nazw REST API. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie szkiców, oczekujących i prywatnych postów należących do innych użytkowników, wraz z hasłami i zawartością postów chronionych hasłem.

Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie ogranicza prawidłowo dostępu do poszczególnych rekordów zamówień, umożliwiając użytkownikom z dostępem na poziomie współautora i wyższym odczyt danych zamówień innych klientów, w tym danych osobowych, poprzez iterowanie identyfikatorów zamówień.

Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie przeprowadza kontroli autoryzacji w obsłudze rejestracji na listę oczekujących, umożliwiając nieuwierzytelnionym użytkownikom tworzenie kont użytkowników WordPressa dla dowolnych adresów e-mail oraz wstrzykiwanie rekordów zamówień.

Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie ogranicza prawidłowo dostępu do przechowywanych rekordów klientów, umożliwiając użytkownikom z dostępem na poziomie współautora i wyższym odczyt danych osobowych innych klientów, takich jak imiona i adresy e-mail.

Wtyczka Eventin do WordPressa przed wersją 4.1.16 nie autoryzuje poprawnie tworzenia zamówień i akceptuje status zamówienia dostarczony przez atakującego. Niezalogowani użytkownicy mogą tworzyć zamówienia oznaczone jako opłacone bez dokonywania płatności.

Wtyczka Eventin dla WordPressa (wersje 4.0.26 do 4.1.15) zawiera lukę w autoryzacji w funkcji payment_complete() w pliku PaymentController.php. Niezautoryzowani atakujący mogą oznaczyć nieopłacone zamówienia biletów jako zrealizowane, wysyłając spreparowany identyfikator SureCart lub hash koszyka FluentCart, co umożliwia uzyskanie dostępu do płatnych wydarzeń, kodów QR i e-maili potwierdzających bez dokonania płatności.

Wtyczka Eventin dla WordPressa (wersje do 4.1.15 włącznie) zawiera podatność na trwałe ataki XSS przez parametr 'etn_faq_content'. Brak odpowiedniej sanitizacji danych wejściowych i kodowania wyjścia umożliwia uwierzytelnionym atakującym (od poziomu contributor wzwyż) wstrzyknięcie dowolnego kodu JavaScript, który wykona się przy każdym wyświetleniu zainfekowanej strony.