CVE-2026-14822

ŚrednieCVSS 5.3

Opublikowano: 01/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 01/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka Event Tickets and Registration dla WordPressa przed wersją 5.29.0.1 nie przeprowadza żadnej kontroli autoryzacji na jednym z punktów końcowych REST do zarządzania zamówieniami. Pozwala to niezalogowanym użytkownikom na zmianę statusu istniejących zamówień.

Ocena ryzyka

Atakujący może anulować, potwierdzić lub zmienić status zamówień, co prowadzi do strat finansowych, problemów logistycznych i naruszenia zaufania klientów.

Rekomendacja

Zaktualizuj wtyczkę Event Tickets and Registration do wersji 5.29.0.1 lub nowszej, która dodaje wymaganą autoryzację.

Inne podatności w Event Tickets and Registration WordPress plugin

CVE-2026-14823Niskie
Wtyczka Event Tickets and Registration dla WordPressa przed wersją 5.29.0.1 nie weryfikuje prawidłowo autoryzacji dla niektórych akcji związanych z miejscami siedzącymi. Pozwala to użytkownikom z rolą contributor i wyższym na nadpisanie układu miejsc, stanu magazynowego biletów oraz przypisań miejsc dla uczestników wydarzeń, których nie są właścicielami.

Oryginalny opis (angielski, źródło NVD)

The Event Tickets and Registration WordPress plugin before 5.29.0.1 does not perform any authorization check on one of its order-management REST endpoints, allowing unauthenticated users to change the status of existing orders.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS