CVE-2026-13177
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie ogranicza prawidłowo dostępu do poszczególnych rekordów zamówień, umożliwiając użytkownikom z dostępem na poziomie współautora i wyższym odczyt danych zamówień innych klientów, w tym danych osobowych, poprzez iterowanie identyfikatorów zamówień.
Ocena ryzyka
Ryzyko naruszenia prywatności klientów i wycieku danych osobowych, co może prowadzić do konsekwencji prawnych i utraty zaufania.
Rekomendacja
Zaktualizuj wtyczkę Eventin do wersji 4.1.20 lub nowszej, która zawiera poprawkę ograniczającą dostęp do rekordów zamówień.
Oryginalny opis (angielski, źródło NVD)
The Eventin WordPress plugin before 4.1.20 does not properly restrict access to individual order records, allowing users with contributor-level access and above to read other customers' order data including personal information by iterating order identifiers.