CVE-2026-42691
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka EventPrime do wersji 4.3.6.0 zawiera podatność typu Authorization Bypass Through User-Controlled Key, umożliwiającą obejście kontroli uprawnień. Może to prowadzić do nadużycia uprawnień.
Ocena ryzyka
Osoba atakująca może wykorzystać klucze kontrolowane przez użytkownika do obejścia autoryzacji i uzyskania wyższych uprawnień, co może skutkować nieautoryzowanymi działaniami w witrynie.
Rekomendacja
Zaktualizuj wtyczkę EventPrime do wersji nowszej niż 4.3.6.0, gdy tylko będzie dostępna.
Inne podatności w EventPrime
Zobacz wszystkie- CVE-2026-42687Wysokie
W wersjach EventPrime do 4.3.2.1 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-42686Wysokie
W wersjach EventPrime <= 4.3.2.1 występuje podatność na atak Cross Site Scripting (XSS) skierowany do subskrybentów.
- CVE-2026-39518Wysokie
W wersjach EventPrime <= 4.3.0.0 występuje podatność na nieautoryzowany dostęp do obiektów, znana jako IDOR. Umożliwia to subskrybentom dostęp do danych, do których nie powinni mieć uprawnień.
- CVE-2026-42669Wysokie
Brak autoryzacji w EventPrime umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji EventPrime od n/a do 4.3.2.0.
- CVE-2025-63007Średnie
Podatność w wtyczce EventPrime umożliwia wstawienie wrażliwych informacji do wysyłanych danych, co pozwala atakującemu na odzyskanie osadzonych danych wrażliwych.
- CVE-2025-63006Średnie
Wtyczka EventPrime dla WordPressa ma podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji do 4.2.4.1 włącznie.
- CVE-2025-12498Średnie
Wtyczka EventPrime – Events Calendar, Bookings and Tickets dla WordPress jest podatna na nieautoryzowane tworzenie notatek do rezerwacji z powodu braku sprawdzenia uprawnień w funkcji 'booking_add_notes' we wszystkich wersjach do 4.2.0.0 włącznie. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może dodać notatkę do widoku backendu dowolnej rezerwacji.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key vulnerability in EventPrime EventPrime eventprime-event-calendar-management allows Privilege Abuse.This issue affects EventPrime: from n/a through 4.3.6.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS