CVE-2026-14205
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WP Events Manager dla WordPressa przed wersją 2.2.5 nie weryfikuje żądanej ilości podczas rejestracji na płatne wydarzenie i oblicza cenę na podstawie ilości kontrolowanej przez atakującego, co pozwala każdemu uwierzytelnionemu użytkownikowi na utworzenie zakończonej rezerwacji na płatne wydarzenie bez dokonania płatności.
Ocena ryzyka
Atakujący może uzyskać dostęp do płatnych wydarzeń bez płacenia, co prowadzi do strat finansowych i naruszenia integralności systemu rezerwacji.
Rekomendacja
Zaktualizuj wtyczkę WP Events Manager do wersji 2.2.5 lub nowszej. Dodatkowo waliduj ilość i cenę po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
The WP Events Manager WordPress plugin before 2.2.5 does not validate the requested quantity when registering for a paid event and computes the price from the attacker-controlled quantity, allowing any authenticated user to create a completed booking for a paid event without making a payment.