CVE-2026-84742
NiskieCVSS 2.7Streszczenie
Wtyczka Events Calendar dla WordPressa przed wersją 6.17.5 nie sprawdza uprawnień wymaganych do publikowania treści przed utworzeniem lub aktualizacją przez REST API. Umożliwia to użytkownikom z rolą, która normalnie nie może publikować, takim jak contributor, publikowanie treści bezpośrednio i ominięcie przeglądu redakcyjnego.
Ocena ryzyka
Użytkownicy bez uprawnień do publikacji mogą publikować treści, co może prowadzić do publikacji nieautoryzowanych lub szkodliwych treści.
Rekomendacja
Zaktualizuj wtyczkę Events Calendar do wersji 6.17.5 lub nowszej. Zweryfikuj role i uprawnienia użytkowników.
Inne podatności w Events Calendar
Zobacz wszystkie- CVE-2026-84743Niskie
Wtyczka Events Calendar dla WordPressa przed wersją 6.17.5 nie wykonuje kontroli uprawnień per obiekt na jednej rodzinie swoich tras REST do zapisu. Umożliwia to użytkownikom z niskimi uprawnieniami, takim jak contributor, modyfikowanie, publikowanie, przenoszenie do kosza i przejmowanie rekordów należących do innych użytkowników, w tym administratorów.
- CVE-2026-84745Niskie
Wtyczka Events Calendar dla WordPressa przed wersją 6.17.3.1 nie ogranicza dostępu do niepublicznych treści w publicznych archiwach REST, umożliwiając użytkownikom z niskimi uprawnieniami, takim jak współautor, odczytanie pełnej treści wszystkich nieopublikowanych rekordów na stronie, w tym rekordów innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Events Calendar WordPress plugin before 6.17.5 does not check the capability required to publish content before creating or updating it through its REST API, allowing users with a role that cannot normally publish, such as contributor, to publish content directly and bypass editorial review.