CVE-2026-7537

WysokieCVSS 7.2

Opublikowano: 06/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.66%

Percentyl 48 - wyżej niż 48% wszystkich znanych CVE

Streszczenie

Wtyczka MDJM Event Management dla WordPress do wersji 1.7.8.3 włącznie zawiera podatność na dowolne przesyłanie plików przez funkcję mdjm_send_comm_email. Brak walidacji typu pliku, rozszerzenia lub typu MIME umożliwia uwierzytelnionym atakującym z dostępem administratora (lub wyższym) przesyłanie plików wykonywalnych, co może prowadzić do zdalnego wykonania kodu.

Ocena ryzyka

Atakujący z uprawnieniami administratora może przesłać złośliwy plik i przejąć kontrolę nad serwerem WordPress.

Rekomendacja

Zaktualizuj wtyczkę MDJM Event Management do najnowszej wersji lub usuń ją, jeśli nie jest niezbędna.

Inne podatności w MDJM Event Management

CVE-2026-15017Wysokie
Wtyczka MDJM Event Management dla WordPressa w wersjach do 1.7.8.4 włącznie zawiera podatność eskalacji uprawnień z powodu braku kontroli uprawnień i weryfikacji nonce w funkcjach `MDJM_Permissions::set_permissions()` i `MDJM_Employee_Manager::init()`, co umożliwia nieuwierzytelnionym atakującym nadanie dowolnych uprawnień MDJM dowolnej roli WordPressa, a następnie eskalację do administratora.

Oryginalny opis (angielski, źródło NVD)

The MDJM Event Management plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 1.7.8.3 via the mdjm_send_comm_email function. This is due to no file type, extension, or MIME type validation being performed on uploaded files. This makes it possible for authenticated attackers, with administrator-level access and above, to upload files that may be executable, which makes remote code execution possible.