CVE-2026-82226

KrytyczneCVSS 9.8

Opublikowano: 31/08/2026(UTC)Przetłumaczono: 01/09/2026(UTC)NVD NIST

Streszczenie

W Tickera w wersjach do 3.6.0.2 wykryto podatność na wstrzykiwanie obiektów PHP (PHP Object Injection) bez uwierzytelnienia. Podatność może pozwolić atakującemu na zdalne wykonanie kodu lub inne nieautoryzowane działania.

Ocena ryzyka

Atakujący bez uwierzytelnienia może wykorzystać podatność do wykonania złośliwego kodu na serwerze, co może prowadzić do pełnej kompromitacji aplikacji i danych.

Rekomendacja

Należy zaktualizować Tickera do najnowszej wersji, która zawiera poprawkę. Dodatkowo należy ograniczyć dostęp do aplikacji i monitorować logi pod kątem podejrzanych działań.

Inne podatności w Tickera

CVE-2026-15448Średnie
Wtyczka Tickera – Sell Tickets & Manage Events dla WordPressa w wersjach do 3.6.0.1 zawiera podatność na wstrzykiwanie SQL przez parametr 'tc_order_status_filter', umożliwiającą uwierzytelnionym użytkownikom z dostępem na poziomie personelu i wyższym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Oryginalny opis (angielski, źródło NVD)

Unauthenticated PHP Object Injection in Tickera <= 3.6.0.2 versions.