CVE-2026-18028
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Widok szybkiej konfiguracji wyświetlany użytkownikom po pierwszym utworzeniu wydarzenia nie sprawdza poprawnie uprawnień użytkownika do zmiany konfiguracji danego wydarzenia. Atakujący może wykorzystać odpowiednio zsynchronizowane żądanie, aby tworzyć produkty, limity, ustawić konfigurację przelewów bankowych lub podłączyć konto Stripe do wydarzenia, do którego nie ma dostępu.
Ocena ryzyka
Atakujący może nieautoryzowanie modyfikować ustawienia wydarzeń, co może prowadzić do strat finansowych, naruszenia integralności danych i nieautoryzowanego dostępu do systemów płatności.
Rekomendacja
Zaleca się natychmiastową aktualizację oprogramowania do najnowszej wersji, która zawiera poprawkę sprawdzania uprawnień w widoku szybkiej konfiguracji.
Oryginalny opis (angielski, źródło NVD)
The "quick setup" view presented to users after they first create an event allows to set up the most critical parts of an event in just a few clicks. This view did not properly check that the user has permission to change configuration for the given event. An attacker could use a well-timed request to create products, quotas, set bank transfer configuration, or connect a stripe account to an event they do not have access to.