CVE-2026-18366
NieznaneStreszczenie
Wtyczka Events Manager dla WordPressa przed wersją 7.4.1 nieprawidłowo zakresuje mapowanie uprawnień, odrzucając decyzje kontroli dostępu, które WordPress już podjął dla niepowiązanych uprzywilejowanych akcji, co pozwala nieuwierzytelnionym użytkownikom na zmianę hasła, eskalację do administratora lub usunięcie dowolnego konta, którego identyfikator użytkownika przypadkowo pasuje do identyfikatora jednego z wpisów wtyczki.
Ocena ryzyka
Nieuwierzytelniony atakujący może przejąć konta użytkowników, w tym administratorów, co może prowadzić do całkowitej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę Events Manager do wersji 7.4.1 lub nowszej. Natychmiast sprawdź, czy nie doszło do nieautoryzowanych zmian kont.
Oryginalny opis (angielski, źródło NVD)
The Events Manager WordPress plugin before 7.4.1 does not properly scope its capability mapping, discarding the access control decisions WordPress already made for unrelated privileged actions, which allows unauthenticated users to change the password of, escalate to Administrator, or delete any account whose user ID happens to match the ID of one of the Events Manager WordPress plugin before 7.4.1's own posts.