CVE-2026-39532

WysokieCVSS 8.8

Opublikowano: 15/06/2026(UTC)Zaktualizowano: 25/10/2026(UTC)Przetłumaczono: 16/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Wersje Events Calendar dla GeoDirectory do 2.3.25 zawierają podatność na wstrzykiwanie obiektów PHP, co może prowadzić do nieautoryzowanego dostępu lub manipulacji danymi.

Ocena ryzyka

Organizacje korzystające z tych wersji mogą być narażone na ataki, które mogą skutkować utratą danych lub naruszeniem bezpieczeństwa systemu.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji Events Calendar, aby usunąć tę podatność.

Inne podatności w Events Calendar for GeoDirectory

CVE-2026-11616Wysokie
Wtyczka Events Calendar for GeoDirectory dla WordPress do wersji 2.3.28 zawiera lukę umożliwiającą eskalację uprawnień. Funkcja ajax_ayi_action() nie filtruje odpowiednio parametrów 'type' i 'postid', co pozwala uwierzytelnionemu atakującemu z dostępem na poziomie Subscribera na zmianę własnych uprawnień na Administratora poprzez przekazanie type=wp_capabilities i postid=administrator.

Oryginalny opis (angielski, źródło NVD)

Contributor PHP Object Injection in Events Calendar for GeoDirectory <= 2.3.25 versions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS