CVE-2026-77144
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka zarządzania frontendem przypisywała nowo utworzone zdarzenie do rekordu organizatora przesyłającego użytkownika tylko wtedy, gdy żądanie nie dostarczyło własnego organizatora. Towarzysząca kontrola uprawnień potwierdzała tylko, że przesyłający użytkownik posiada jakąkolwiek rolę organizatora. Użytkownik z dostępem do zarządzania zdarzeniami frontendu mógł więc utworzyć zdarzenie przypisane do innego organizatora.
Ocena ryzyka
Użytkownik może tworzyć zdarzenia przypisane do innych organizatorów, co może prowadzić do nieautoryzowanych działań lub błędnych przypisań.
Rekomendacja
Zaktualizuj wtyczkę do wersji, w której poprawiono przypisywanie zdarzeń i kontrolę uprawnień. Dodatkowo weryfikuj uprawnienia użytkowników przed przyznaniem dostępu do zarządzania zdarzeniami.
Inne podatności w Extension
Zobacz wszystkie- CVE-2026-77146Wysokie
Kontroler zaproszeń w rozszerzeniu nie przerywa przetwarzania po przekierowaniu na nieprawidłowe dane wejściowe (brak hasha, nieistniejący, wyłączony lub usunięty użytkownik), co pozwala nieuwierzytelnionemu atakującemu ustawić nowe hasło i ponownie włączyć dowolne istniejące konto użytkownika frontendu. Podatność występuje tylko w wersjach 8.x rozszerzenia.
- CVE-2026-77145Wysokie
Kontrola uprawnień dla przepływu aktualizacji zarządzania frontendem weryfikowała inne zdarzenie niż to, które żądanie następnie modyfikowało. Użytkownik z dostępem do zarządzania zdarzeniami frontendu mógł więc modyfikować zdarzenia należące do innych organizatorów.
Oryginalny opis (angielski, źródło NVD)
The frontend management plugin attributed a newly created event to the submitting user's organizer record only when the request supplied no organizer of its own. The accompanying permission check confirmed only that the submitting user held any organizer role. A user with frontend event management access could therefore create an event that is attributed to another organizer.