CVE-2026-59557
ŚrednieCVSS 6.5Streszczenie
Wtyczka Events Made Easy w wersji 3.1.3 i starszych zawiera podatność na nieuwierzytelniony dostęp z naruszeniem kontroli dostępu. Osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do funkcji lub danych.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do wrażliwych danych lub funkcji bez konieczności uwierzytelnienia, co może prowadzić do wycieku danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Events Made Easy do najnowszej dostępnej wersji, która usuwa tę podatność.
Inne podatności w Events Made Easy
Zobacz wszystkie- CVE-2026-28162Wysokie
Podatność Cross Site Scripting (XSS) w Events Made Easy w wersjach do 3.2.5, możliwa do wykorzystania bez uwierzytelnienia.
- CVE-2026-75963Wysokie
Wtyczka Events Made Easy dla WordPressa do wersji 3.2.5 jest podatna na lokalne dołączanie plików (LFI) przez funkcję eme_single_event_page_template, co pozwala uwierzytelnionym atakującym z dostępem na poziomie contributora na dołączanie i wykonywanie dowolnych plików .php na serwerze.
- CVE-2026-14842Średnie
Wtyczka Events Made Easy dla WordPressa przed wersją 3.1.2 nie wiąże tokena autoryzacji płatności z rekordem płatności, który jest obciążany. Umożliwia to nieuwierzytelnionym atakującym zapłacenie niskiej kwoty za tanią rezerwację i oznaczenie innej, droższej rezerwacji jako w pełni opłaconej.
- CVE-2026-14843Średnie
Wtyczka Events Made Easy dla WordPressa przed wersją 3.1.4 nie weryfikuje, czy żądający jest upoważniony do modyfikacji docelowego rekordu podczas obsługi nieuwierzytelnionego żądania zmiany danych. Polega wyłącznie na publicznym nonce bez tokena na rekord lub sprawdzenia własności, co pozwala nieuwierzytelnionym atakującym nadpisać dane osobowe dowolnego rekordu osoby.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in Events Made Easy <= 3.1.3 versions.