CVE-2026-14843
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Events Made Easy dla WordPressa przed wersją 3.1.4 nie weryfikuje, czy żądający jest upoważniony do modyfikacji docelowego rekordu podczas obsługi nieuwierzytelnionego żądania zmiany danych. Polega wyłącznie na publicznym nonce bez tokena na rekord lub sprawdzenia własności, co pozwala nieuwierzytelnionym atakującym nadpisać dane osobowe dowolnego rekordu osoby.
Ocena ryzyka
Atakujący może zmienić dane osobowe dowolnego rekordu, co może prowadzić do naruszenia prywatności, kradzieży tożsamości lub manipulacji danymi.
Rekomendacja
Zaktualizuj wtyczkę Events Made Easy do wersji 3.1.4 lub nowszej.
Inne podatności w Events Made Easy
Zobacz wszystkie- CVE-2026-28162Wysokie
Podatność Cross Site Scripting (XSS) w Events Made Easy w wersjach do 3.2.5, możliwa do wykorzystania bez uwierzytelnienia.
- CVE-2026-59557Średnie
Wtyczka Events Made Easy w wersji 3.1.3 i starszych zawiera podatność na nieuwierzytelniony dostęp z naruszeniem kontroli dostępu. Osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do funkcji lub danych.
- CVE-2026-75963Wysokie
Wtyczka Events Made Easy dla WordPressa do wersji 3.2.5 jest podatna na lokalne dołączanie plików (LFI) przez funkcję eme_single_event_page_template, co pozwala uwierzytelnionym atakującym z dostępem na poziomie contributora na dołączanie i wykonywanie dowolnych plików .php na serwerze.
- CVE-2026-14842Średnie
Wtyczka Events Made Easy dla WordPressa przed wersją 3.1.2 nie wiąże tokena autoryzacji płatności z rekordem płatności, który jest obciążany. Umożliwia to nieuwierzytelnionym atakującym zapłacenie niskiej kwoty za tanią rezerwację i oznaczenie innej, droższej rezerwacji jako w pełni opłaconej.
Oryginalny opis (angielski, źródło NVD)
The Events Made Easy WordPress plugin before 3.1.4 does not verify that the requester is authorized to modify the targeted record when handling an unauthenticated data-change request, relying only on a public nonce with no per-record token or ownership check, allowing unauthenticated attackers to overwrite the personal data of any person record.