CVE-2026-14819
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Event Tickets and Registration dla WordPressa przed wersją 5.28.4 nieprawidłowo escapuje tytuły wydarzeń przed wyświetleniem ich w historii biletów. Umożliwia to użytkownikom z rolą Editor i wyższym przeprowadzenie ataków Stored Cross-Site Scripting (XSS), które wykonują się przeciwko użytkownikom z wyższymi uprawnieniami w instalacjach multisite.
Ocena ryzyka
Organizacja narażona jest na przejęcie kont użytkowników z wyższymi uprawnieniami w środowisku multisite poprzez wykonanie złośliwego skryptu.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Event Tickets and Registration do wersji 5.28.4 lub nowszej.
Inne podatności w Event Tickets and Registration
Zobacz wszystkie- CVE-2026-97634Średnie
Wtyczka Event Tickets and Registration dla WordPressa jest podatna na ogólną injekcję SQL poprzez parametr 'orderby' we wszystkich wersjach do 5.29.5 włącznie, z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co umożliwia wyodrębnienie poufnych informacji z bazy danych. Użytkownik na poziomie Contributor może osiągnąć podatną ścieżkę kodu, podając post_id, którego jest autorem, ponieważ brama can_access_page() wymaga jedynie autorstwa posta, a nie uprawnienia edit_others_posts dla właścicieli postów.
- CVE-2026-3174Wysokie
Wtyczka Event Tickets and Registration dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie zwrotnym OAuth Stripe we wszystkich wersjach do 5.27.4 włącznie. Umożliwia to nieuwierzytelnionym atakującym nadpisanie poświadczeń Stripe sklepu (tokeny dostępu, klucze publikowalne i identyfikator konta), przekierowując całe przetwarzanie płatności na konto Stripe atakującego.
Oryginalny opis (angielski, źródło NVD)
The Event Tickets and Registration WordPress plugin before 5.28.4 does not properly escape event titles before outputting them in a ticket history log, allowing users with the Editor role and above to perform Stored Cross-Site Scripting attacks that execute against higher-privileged users on multisite installations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS