CVE-2026-75983
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Wtyczka Eventin dla WordPressa do wersji 4.1.23 włącznie jest podatna na eskalację uprawnień. Funkcja PermissionManager::manage_permissions() jest zarejestrowana jako callback na filtrze map_meta_cap i bezwarunkowo zwraca zawsze prawdziwy prymityw 'exist' dla każdej kontroli uprawnień, gdy ID użytkownika wynosi 1, bez ograniczenia do uprawnień specyficznych dla wtyczki. Pozwala to uwierzytelnionym atakującym z ID 1, nawet subskrybentom, przejść wszystkie kontrole uprawnień WordPressa, w tym manage_options, edit_plugins, edit_themes, promote_users i update_core, co prowadzi do pełnego przejęcia strony i zdalnego wykonania kodu. Eksploitacja jest skuteczna tylko gdy użytkownik ID 1 został celowo zdegradowany do roli o niższych uprawnieniach; na domyślnych instalacjach, gdzie ID 1 ma rolę administratora, nie ma dodatkowego wzrostu uprawnień.
Ocena ryzyka
Ryzyko pełnego przejęcia strony WordPress, w tym zdalnego wykonania kodu, jeśli konto o ID 1 zostało zdegradowane. Może to prowadzić do naruszenia poufności i integralności danych oraz utraty kontroli nad witryną.
Rekomendacja
Zaktualizuj wtyczkę Eventin do najnowszej wersji, która zawiera poprawkę. Jeśli to możliwe, przywróć użytkownikowi ID 1 rolę administratora lub zmień ID konta administratora, aby uniknąć eskalacji uprawnień.
Inne podatności w Eventin WordPress plugin
Zobacz wszystkie- CVE-2026-84906Średnie
Wtyczka Eventin dla WordPressa przed wersją 4.1.24 nie weryfikuje, czy zakończona płatność odpowiada zamówieniu, do którego jest zastosowana, potwierdzając jedynie, że bramka płatności raportuje transakcję jako udaną, a nie jej kwotę, walutę ani do którego zamówienia należy. Pozwala to nieuwierzytelnionym odwiedzającym oznaczyć nieopłacone zamówienia o dowolnej wartości jako opłacone poprzez powtórzenie transakcji z jednej prawdziwej płatności o niskiej wartości.
- CVE-2026-15402Średnie
Wtyczka Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'etn_shedule_objective' w schedule_slot we wszystkich wersjach do 4.1.23 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem współtwórcy lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.
- CVE-2026-13175Średnie
Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje własności przed umożliwieniem modyfikacji lub usunięcia wpisów harmonogramu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na zmianę lub usunięcie wpisów utworzonych przez innych użytkowników.
- CVE-2026-13174Wysokie
Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje własności ani uprawnień przed usunięciem kont użytkowników, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na trwałe usunięcie kont innych użytkowników.
- CVE-2026-13173Niskie
Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje uprawnień bieżącego użytkownika do edycji innych użytkowników przed przypisaniem ról i aktualizacją metadanych podczas tworzenia mówcy, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na modyfikację ról i metadanych innych użytkowników.
- CVE-2026-13169Wysokie
Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje prawidłowo własności wydarzeń przed umożliwieniem ich modyfikacji, usunięcia lub przypisania do innego autora, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na zmianę, usunięcie lub przejęcie wydarzeń utworzonych przez innych, w tym administratorów.
- CVE-2026-13170Wysokie
Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie waliduje poprawnie ustawienia ścieżki szablonu przed użyciem go do dołączenia lokalnego pliku, co pozwala użytkownikom z dostępem na poziomie edytora i wyższym na dołączanie i wykonywanie dowolnych lokalnych plików PHP.
Oryginalny opis (angielski, źródło NVD)
The Eventin – Event Calendar, Tickets, Registration, Booking & WooCommerce plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 4.1.23. This is due to the `PermissionManager::manage_permissions()` function being registered as a callback on WordPress core's `map_meta_cap` filter and unconditionally returning the always-true `'exist'` primitive for every capability check whenever the evaluated user ID is 1, without scoping this behavior to plugin-specific capabilities. This makes it possible for authenticated attackers whose account is user ID 1, even subscribers, to pass every WordPress capability check, including `manage_options`, `edit_plugins`, `edit_themes`, `promote_users`, and `update_core`, thereby elevating their privileges to administrator-equivalent power and achieving full site takeover, including remote code execution via the plugin and theme editors. Exploitation is only impactful when user ID 1 has been deliberately demoted to a lower-privilege role as a common administrator-account hardening practice; on default installations where user ID 1 retains the administrator role, no incremental privilege gain occurs.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS