CVE-2026-13178

Wtyczka Eventin dla WordPressa przed wersją 4.1.24 nieprawidłowo autoryzuje finalizację zamówienia, gdy włączona jest metoda płatności offline (lokalna), polegając na nonce, który jest udostępniany niezalogowanym odwiedzającym i nigdy nie sprawdza, czy wywołujący jest właścicielem zamówienia. Umożliwia to niezalogowanym atakującym zresetowanie dowolnego istniejącego zamówienia i jego uczestników do stanu oczekującego, unieważniając w ten sposób opłacone bilety.

Wtyczka Eventin dla WordPressa przed wersją 4.1.24 nie weryfikuje uprawnień użytkownika do tworzenia kont podczas dodawania mówcy. Umożliwia to użytkownikom z poziomem współautora i wyższym tworzenie nowych kont użytkowników WordPressa, które mają uprawnienia wykraczające poza ich własne, w tym publikowanie treści i przesyłanie plików, a także, podając adres e-mail, który kontrolują, uzyskanie działającego logowania do utworzonego konta.

Plugin Eventin przed wersją 4.1.24 nie zapobiega użyciu tokenu wydanego gościowi podczas finalizacji zakupu do późniejszej zmiany biletów w zamówieniu, co pozwala niezalogowanym użytkownikom zastąpić płatny bilet darmowym i sfinalizować zamówienie bez płacenia.

Wtyczka Eventin dla WordPressa do wersji 4.1.22 włącznie ma podatność na obejście autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą ominąć płatności za wydarzenia, fałszywie oznaczać zamówienia jako zrealizowane, wyczerpywać zapasy biletów i wywoływać e-maile potwierdzające dla niezakupionych biletów. Podatność jest wykorzystywalna również przez nieuwierzytelnionych atakujących, ponieważ nonce wp_rest jest publicznie emitowany na każdej stronie frontendowej, a endpoint tworzenia zamówień generuje i zwraca token dostępu do zamówienia każdemu, kto posiada ten nonce.

Wtyczka Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 4.1.17 włącznie. Wynika to z nieprawidłowego weryfikowania, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej przeglądanie, tworzenie, aktualizowanie, klonowanie i usuwanie przepływów pracy automatyzacji zdarzeń powiadomień, które powinny być ograniczone do administratorów.

Wtyczka Eventin dla WordPressa (do wersji 4.1.22 włącznie) jest podatna na lokalne dołączanie plików (Local File Inclusion) przez parametr 'event_layout'. Uwierzytelnieni atakujący z dostępem na poziomie współautora (contributor) lub wyższym mogą dołączać i wykonywać dowolne pliki .php na serwerze. Domyślnie uprawnienie etn_manage_event jest przypisane do roli Współautor, co oznacza, że każdy użytkownik na tym poziomie może ustawić złośliwą wartość event_layout przez REST API bez dodatkowej konfiguracji.

Wtyczka Eventin dla WordPressa (do wersji 4.1.22 włącznie) jest podatna na lokalne dołączanie plików (Local File Inclusion) przez parametr 'event_layout'. Uwierzytelnieni atakujący z dostępem na poziomie niestandardowym (custom-level) lub wyższym mogą dołączać i wykonywać dowolne pliki .php na serwerze, co może prowadzić do ominięcia kontroli dostępu, uzyskania wrażliwych danych lub wykonania kodu, jeśli możliwe jest przesłanie plików .php.

Wtyczka Eventin dla WordPressa przed wersją 4.1.22 nie sprawdza prawidłowo autoryzacji na kilku trasach REST do zarządzania wydarzeniami, umożliwiając użytkownikom z rolą współautora lub wyższą zmianę ustawienia strony głównej na wydarzenie, którego nie są właścicielami, oraz tworzenie, edytowanie i usuwanie globalnych taksonomii wydarzeń i prelegentów, którymi nie powinni zarządzać.

Wtyczka Eventin dla WordPressa przed wersją 4.1.21 nie sprawdza prawidłowo wartości ścieżki szablonu przed użyciem jej do dołączenia lokalnego pliku, umożliwiając użytkownikom z rolą współautora lub wyższą dołączanie i wykonywanie dowolnych lokalnych plików PHP.

Wtyczka Eventin przed wersją 4.1.19 nieprawidłowo ogranicza zmiany, które token gościa przy kasie może autoryzować na zamówieniu. Pozwala to nieuwierzytelnionym użytkownikom oznaczyć własne nieopłacone zamówienie jako ukończone i otrzymać ważny płatny bilet bez dokonania płatności.