CVE-2026-3174
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Event Tickets and Registration dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie zwrotnym OAuth Stripe we wszystkich wersjach do 5.27.4 włącznie. Umożliwia to nieuwierzytelnionym atakującym nadpisanie poświadczeń Stripe sklepu (tokeny dostępu, klucze publikowalne i identyfikator konta), przekierowując całe przetwarzanie płatności na konto Stripe atakującego.
Ocena ryzyka
Ryzyko przejęcia płatności i kradzieży środków, ponieważ wszystkie płatności mogą być kierowane na konto atakującego.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji zawierającej poprawkę oraz sprawdzenie, czy poświadczenia Stripe nie zostały zmienione.
Inne podatności w Event Tickets and Registration
Zobacz wszystkie- CVE-2026-97634Średnie
Wtyczka Event Tickets and Registration dla WordPressa jest podatna na ogólną injekcję SQL poprzez parametr 'orderby' we wszystkich wersjach do 5.29.5 włącznie, z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co umożliwia wyodrębnienie poufnych informacji z bazy danych. Użytkownik na poziomie Contributor może osiągnąć podatną ścieżkę kodu, podając post_id, którego jest autorem, ponieważ brama can_access_page() wymaga jedynie autorstwa posta, a nie uprawnienia edit_others_posts dla właścicieli postów.
- CVE-2026-14819Niskie
Wtyczka Event Tickets and Registration dla WordPressa przed wersją 5.28.4 nieprawidłowo escapuje tytuły wydarzeń przed wyświetleniem ich w historii biletów. Umożliwia to użytkownikom z rolą Editor i wyższym przeprowadzenie ataków Stored Cross-Site Scripting (XSS), które wykonują się przeciwko użytkownikom z wyższymi uprawnieniami w instalacjach multisite.
Oryginalny opis (angielski, źródło NVD)
The Event Tickets and Registration plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the Stripe OAuth return endpoint in all versions up to, and including, 5.27.4. This makes it possible for unauthenticated attackers to overwrite the site's Stripe merchant credentials (access tokens, publishable keys, and account ID), diverting all subsequent payment processing to the attacker's Stripe account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS