CVE-2026-77145
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Kontrola uprawnień dla przepływu aktualizacji zarządzania frontendem weryfikowała inne zdarzenie niż to, które żądanie następnie modyfikowało. Użytkownik z dostępem do zarządzania zdarzeniami frontendu mógł więc modyfikować zdarzenia należące do innych organizatorów.
Ocena ryzyka
Użytkownik z uprawnieniami do zarządzania zdarzeniami może modyfikować zdarzenia innych organizatorów, co może prowadzić do nieautoryzowanych zmian lub naruszenia integralności danych.
Rekomendacja
Zaktualizuj rozszerzenie do wersji, w której poprawiono kontrolę uprawnień. Dodatkowo przeglądaj logi dostępu w celu wykrycia nieautoryzowanych zmian.
Inne podatności w Extension
Zobacz wszystkie- CVE-2026-77146Wysokie
Kontroler zaproszeń w rozszerzeniu nie przerywa przetwarzania po przekierowaniu na nieprawidłowe dane wejściowe (brak hasha, nieistniejący, wyłączony lub usunięty użytkownik), co pozwala nieuwierzytelnionemu atakującemu ustawić nowe hasło i ponownie włączyć dowolne istniejące konto użytkownika frontendu. Podatność występuje tylko w wersjach 8.x rozszerzenia.
- CVE-2026-77144Wysokie
Wtyczka zarządzania frontendem przypisywała nowo utworzone zdarzenie do rekordu organizatora przesyłającego użytkownika tylko wtedy, gdy żądanie nie dostarczyło własnego organizatora. Towarzysząca kontrola uprawnień potwierdzała tylko, że przesyłający użytkownik posiada jakąkolwiek rolę organizatora. Użytkownik z dostępem do zarządzania zdarzeniami frontendu mógł więc utworzyć zdarzenie przypisane do innego organizatora.
Oryginalny opis (angielski, źródło NVD)
The permission check for the frontend management update flow verified a different event than the one the request went on to modify. A user with frontend event management access could therefore modify events belonging to other organizers.