CVE-2026-82226
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W Tickera w wersjach do 3.6.0.2 wykryto podatność na wstrzykiwanie obiektów PHP (PHP Object Injection) bez uwierzytelnienia. Podatność może pozwolić atakującemu na zdalne wykonanie kodu lub inne nieautoryzowane działania.
Ocena ryzyka
Atakujący bez uwierzytelnienia może wykorzystać podatność do wykonania złośliwego kodu na serwerze, co może prowadzić do pełnej kompromitacji aplikacji i danych.
Rekomendacja
Należy zaktualizować Tickera do najnowszej wersji, która zawiera poprawkę. Dodatkowo należy ograniczyć dostęp do aplikacji i monitorować logi pod kątem podejrzanych działań.
Inne podatności w Tickera
Zobacz wszystkie- CVE-2026-15448Średnie
Wtyczka Tickera – Sell Tickets & Manage Events dla WordPressa w wersjach do 3.6.0.1 zawiera podatność na wstrzykiwanie SQL przez parametr 'tc_order_status_filter', umożliwiającą uwierzytelnionym użytkownikom z dostępem na poziomie personelu i wyższym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
- CVE-2026-105889Krytyczne
Podatność typu Blind SQL Injection w wtyczce Tickera do systemu biletowego. Nieprawidłowa neutralizacja specjalnych elementów w zapytaniach SQL pozwala atakującemu na ślepe wstrzyknięcie kodu SQL. Dotyczy wersji do 3.6.0.6.
- CVE-2025-69355Średnie
Wtyczka Tickera (tickera-event-ticketing-system) w wersjach do 3.5.6.4 włącznie zawiera lukę braku autoryzacji. Pozwala ona na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated PHP Object Injection in Tickera <= 3.6.0.2 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS