CVE-2026-27394
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Eventer w wersjach do 0.1.1 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Złośliwy skrypt wstrzyknięty przez atakującego jest wykonywany w przeglądarce ofiary.
Ocena ryzyka
Możliwe jest przejęcie sesji użytkowników, kradzież danych lub modyfikacja treści strony. Ryzyko dotyczy wszystkich witryn z podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę Eventer do wersji nowszej niż 0.1.1. Do czasu aktualizacji rozważ dezaktywację wtyczki lub wdrożenie filtrów WAF.
Inne podatności w Eventer
Zobacz wszystkie- CVE-2026-9701Krytyczne
Wtyczka Eventer dla WordPressa do wersji 4.4.2 włącznie przechowuje klucz resetowania hasła w postaci zwykłego tekstu w polu meta użytkownika `eventer_verification_code`. W połączeniu z inną podatnością, taką jak SQL Injection (CVE-2026-9700), nieuwierzytelniony atakujący może wyodrębnić ten klucz i przejąć konto dowolnego użytkownika, w tym administratora.
- CVE-2026-9700Wysokie
Wtyczka Eventer dla WordPressa jest podatna na czasową iniekcję SQL przez parametr 'code' we wszystkich wersjach do 4.4.2 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in Eventer <= 0.1.1 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS