CVE-2026-14842
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Events Made Easy dla WordPressa przed wersją 3.1.2 nie wiąże tokena autoryzacji płatności z rekordem płatności, który jest obciążany. Umożliwia to nieuwierzytelnionym atakującym zapłacenie niskiej kwoty za tanią rezerwację i oznaczenie innej, droższej rezerwacji jako w pełni opłaconej.
Ocena ryzyka
Atakujący mogą manipulować płatnościami, aby uniknąć pełnej zapłaty za droższe rezerwacje, co prowadzi do strat finansowych.
Rekomendacja
Zaktualizuj wtyczkę Events Made Easy do wersji 3.1.2 lub nowszej, aby zapewnić powiązanie tokena płatności z konkretną rezerwacją.
Inne podatności w Events Made Easy
Zobacz wszystkie- CVE-2026-28162Wysokie
Podatność Cross Site Scripting (XSS) w Events Made Easy w wersjach do 3.2.5, możliwa do wykorzystania bez uwierzytelnienia.
- CVE-2026-59557Średnie
Wtyczka Events Made Easy w wersji 3.1.3 i starszych zawiera podatność na nieuwierzytelniony dostęp z naruszeniem kontroli dostępu. Osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do funkcji lub danych.
- CVE-2026-75963Wysokie
Wtyczka Events Made Easy dla WordPressa do wersji 3.2.5 jest podatna na lokalne dołączanie plików (LFI) przez funkcję eme_single_event_page_template, co pozwala uwierzytelnionym atakującym z dostępem na poziomie contributora na dołączanie i wykonywanie dowolnych plików .php na serwerze.
- CVE-2026-14843Średnie
Wtyczka Events Made Easy dla WordPressa przed wersją 3.1.4 nie weryfikuje, czy żądający jest upoważniony do modyfikacji docelowego rekordu podczas obsługi nieuwierzytelnionego żądania zmiany danych. Polega wyłącznie na publicznym nonce bez tokena na rekord lub sprawdzenia własności, co pozwala nieuwierzytelnionym atakującym nadpisać dane osobowe dowolnego rekordu osoby.
Oryginalny opis (angielski, źródło NVD)
The Events Made Easy WordPress plugin before 3.1.2 does not bind the payment authorization token to the payment record being charged, allowing unauthenticated attackers to pay a low amount for a cheap booking and have a separate, higher-priced booking marked as fully paid.