CVE-2026-75963
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Wtyczka Events Made Easy dla WordPressa do wersji 3.2.5 jest podatna na lokalne dołączanie plików (LFI) przez funkcję eme_single_event_page_template, co pozwala uwierzytelnionym atakującym z dostępem na poziomie contributora na dołączanie i wykonywanie dowolnych plików .php na serwerze.
Ocena ryzyka
Ryzyko ominięcia kontroli dostępu, uzyskania wrażliwych danych lub wykonania kodu, jeśli możliwe jest przesłanie plików .php.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji i ogranicz uprawnienia użytkowników z rolą contributora.
Inne podatności w Events Made Easy
Zobacz wszystkie- CVE-2026-28162Wysokie
Podatność Cross Site Scripting (XSS) w Events Made Easy w wersjach do 3.2.5, możliwa do wykorzystania bez uwierzytelnienia.
- CVE-2026-59557Średnie
Wtyczka Events Made Easy w wersji 3.1.3 i starszych zawiera podatność na nieuwierzytelniony dostęp z naruszeniem kontroli dostępu. Osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do funkcji lub danych.
- CVE-2026-14842Średnie
Wtyczka Events Made Easy dla WordPressa przed wersją 3.1.2 nie wiąże tokena autoryzacji płatności z rekordem płatności, który jest obciążany. Umożliwia to nieuwierzytelnionym atakującym zapłacenie niskiej kwoty za tanią rezerwację i oznaczenie innej, droższej rezerwacji jako w pełni opłaconej.
- CVE-2026-14843Średnie
Wtyczka Events Made Easy dla WordPressa przed wersją 3.1.4 nie weryfikuje, czy żądający jest upoważniony do modyfikacji docelowego rekordu podczas obsługi nieuwierzytelnionego żądania zmiany danych. Polega wyłącznie na publicznym nonce bez tokena na rekord lub sprawdzenia własności, co pozwala nieuwierzytelnionym atakującym nadpisać dane osobowe dowolnego rekordu osoby.
Oryginalny opis (angielski, źródło NVD)
The Events Made Easy plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 3.2.5 via the eme_single_event_page_template function. This makes it possible for authenticated attackers, with contributor-level access and above, to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. The stored traversal payload is triggered passively when any visitor loads the affected single-event page, meaning post-submission execution does not require additional attacker interaction.