CVE-2026-15398
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Eventin dla WordPressa do wersji 4.1.22 włącznie ma podatność na obejście autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą ominąć płatności za wydarzenia, fałszywie oznaczać zamówienia jako zrealizowane, wyczerpywać zapasy biletów i wywoływać e-maile potwierdzające dla niezakupionych biletów. Podatność jest wykorzystywalna również przez nieuwierzytelnionych atakujących, ponieważ nonce wp_rest jest publicznie emitowany na każdej stronie frontendowej, a endpoint tworzenia zamówień generuje i zwraca token dostępu do zamówienia każdemu, kto posiada ten nonce.
Ocena ryzyka
Organizacja może ponieść straty finansowe z powodu nieautoryzowanego dostępu do płatnych wydarzeń i manipulacji zamówieniami. Możliwe jest również wyczerpanie zapasów biletów i wysyłanie fałszywych potwierdzeń, co podważa zaufanie klientów.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Eventin do najnowszej wersji, która usuwa tę podatność. Należy również ograniczyć dostęp do endpointów REST i monitorować nietypowe aktywności związane z zamówieniami.
Inne podatności w Eventin
Zobacz wszystkie- CVE-2026-84907Niskie
Wtyczka Eventin dla WordPressa przed wersją 4.1.24 nieprawidłowo autoryzuje finalizację zamówienia, gdy włączona jest metoda płatności offline (lokalna), polegając na nonce, który jest udostępniany niezalogowanym odwiedzającym i nigdy nie sprawdza, czy wywołujący jest właścicielem zamówienia. Umożliwia to niezalogowanym atakującym zresetowanie dowolnego istniejącego zamówienia i jego uczestników do stanu oczekującego, unieważniając w ten sposób opłacone bilety.
- CVE-2026-84905Niskie
Wtyczka Eventin dla WordPressa przed wersją 4.1.24 nie weryfikuje uprawnień użytkownika do tworzenia kont podczas dodawania mówcy. Umożliwia to użytkownikom z poziomem współautora i wyższym tworzenie nowych kont użytkowników WordPressa, które mają uprawnienia wykraczające poza ich własne, w tym publikowanie treści i przesyłanie plików, a także, podając adres e-mail, który kontrolują, uzyskanie działającego logowania do utworzonego konta.
- CVE-2026-77702Średnie
Plugin Eventin przed wersją 4.1.24 nie zapobiega użyciu tokenu wydanego gościowi podczas finalizacji zakupu do późniejszej zmiany biletów w zamówieniu, co pozwala niezalogowanym użytkownikom zastąpić płatny bilet darmowym i sfinalizować zamówienie bez płacenia.
- CVE-2026-11821Średnie
Wtyczka Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 4.1.17 włącznie. Wynika to z nieprawidłowego weryfikowania, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej przeglądanie, tworzenie, aktualizowanie, klonowanie i usuwanie przepływów pracy automatyzacji zdarzeń powiadomień, które powinny być ograniczone do administratorów.
- CVE-2026-15667Wysokie
Wtyczka Eventin dla WordPressa (do wersji 4.1.22 włącznie) jest podatna na lokalne dołączanie plików (Local File Inclusion) przez parametr 'event_layout'. Uwierzytelnieni atakujący z dostępem na poziomie współautora (contributor) lub wyższym mogą dołączać i wykonywać dowolne pliki .php na serwerze. Domyślnie uprawnienie etn_manage_event jest przypisane do roli Współautor, co oznacza, że każdy użytkownik na tym poziomie może ustawić złośliwą wartość event_layout przez REST API bez dodatkowej konfiguracji.
- CVE-2026-15406Wysokie
Wtyczka Eventin dla WordPressa (do wersji 4.1.22 włącznie) jest podatna na lokalne dołączanie plików (Local File Inclusion) przez parametr 'event_layout'. Uwierzytelnieni atakujący z dostępem na poziomie niestandardowym (custom-level) lub wyższym mogą dołączać i wykonywać dowolne pliki .php na serwerze, co może prowadzić do ominięcia kontroli dostępu, uzyskania wrażliwych danych lub wykonania kodu, jeśli możliwe jest przesłanie plików .php.
- CVE-2026-84901Średnie
Wtyczka Eventin dla WordPressa przed wersją 4.1.22 nie sprawdza prawidłowo autoryzacji na kilku trasach REST do zarządzania wydarzeniami, umożliwiając użytkownikom z rolą współautora lub wyższą zmianę ustawienia strony głównej na wydarzenie, którego nie są właścicielami, oraz tworzenie, edytowanie i usuwanie globalnych taksonomii wydarzeń i prelegentów, którymi nie powinni zarządzać.
- CVE-2026-84898Średnie
Wtyczka Eventin dla WordPressa przed wersją 4.1.21 nie sprawdza prawidłowo wartości ścieżki szablonu przed użyciem jej do dołączenia lokalnego pliku, umożliwiając użytkownikom z rolą współautora lub wyższą dołączanie i wykonywanie dowolnych lokalnych plików PHP.
- CVE-2026-77694Średnie
Wtyczka Eventin przed wersją 4.1.19 nieprawidłowo ogranicza zmiany, które token gościa przy kasie może autoryzować na zamówieniu. Pozwala to nieuwierzytelnionym użytkownikom oznaczyć własne nieopłacone zamówienie jako ukończone i otrzymać ważny płatny bilet bez dokonania płatności.
- CVE-2026-13172Średnie
Wtyczka Eventin przed wersją 4.1.22 nie ogranicza dostępu do nieopublikowanych treści pod względem statusu lub własności w jednym z przestrzeni nazw REST API. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie szkiców, oczekujących i prywatnych postów należących do innych użytkowników, wraz z hasłami i zawartością postów chronionych hasłem.
Oryginalny opis (angielski, źródło NVD)
The Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.1.22. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to bypass payment for paid events, fraudulently mark orders as completed, deplete ticket inventory, and trigger confirmation emails for tickets never purchased. This is exploitable by unauthenticated attackers because the wp_rest nonce is publicly emitted on every frontend page, and the order creation endpoint mints and returns an order_access_token to any caller possessing that nonce — giving unauthenticated users all credentials required to reach the privileged update_booking_status branch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS