CVE-2026-13755
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Tickera – Sell Tickets & Manage Events dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez atrybut 'price_wrapper' shortcode'u. Podatność występuje we wszystkich wersjach do 3.6.0.0 włącznie z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia.
Ocena ryzyka
Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach. Skrypt wykonuje się tylko dla ofiar, które mają w ciasteczku koszyka identyfikator biletu, co ogranicza ryzyko, ale wciąż umożliwia kradzież danych lub przejęcie sesji.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Tickera do najnowszej wersji, która usuwa tę podatność. Należy również ograniczyć uprawnienia użytkowników do niezbędnego minimum.
Inne podatności w Tickera – Sell Tickets & Manage Events
Zobacz wszystkie- CVE-2026-15761Średnie
Wtyczka Tickera do WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'tc_event_filter' w wersjach do 3.6.0.1 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL, co umożliwia uwierzytelnionym atakującym z dostępem na poziomie personelu lub wyższym dołączanie dodatkowych zapytań SQL.
- CVE-2026-13754Średnie
Wtyczka Tickera – Sell Tickets & Manage Events dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 's' we wszystkich wersjach do 3.6.0.0 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
The Tickera – Sell Tickets & Manage Events plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'price_wrapper' Shortcode Attribute in all versions up to, and including, 3.6.0.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Successful execution of the injected script is limited to victims who have the referenced ticket ID present in their cart cookie, meaning the payload only fires for users who have previously added that ticket to their cart.