CVE-2026-84743
NiskieCVSS 3.8Streszczenie
Wtyczka Events Calendar dla WordPressa przed wersją 6.17.5 nie wykonuje kontroli uprawnień per obiekt na jednej rodzinie swoich tras REST do zapisu. Umożliwia to użytkownikom z niskimi uprawnieniami, takim jak contributor, modyfikowanie, publikowanie, przenoszenie do kosza i przejmowanie rekordów należących do innych użytkowników, w tym administratorów.
Ocena ryzyka
Użytkownik z niskimi uprawnieniami może przejąć kontrolę nad wydarzeniami innych użytkowników, co może prowadzić do naruszenia integralności danych i nieautoryzowanych zmian.
Rekomendacja
Zaktualizuj wtyczkę Events Calendar do wersji 6.17.5 lub nowszej. Przeprowadź audyt istniejących rekordów pod kątem nieautoryzowanych zmian.
Inne podatności w Events Calendar
Zobacz wszystkie- CVE-2026-84742Niskie
Wtyczka Events Calendar dla WordPressa przed wersją 6.17.5 nie sprawdza uprawnień wymaganych do publikowania treści przed utworzeniem lub aktualizacją przez REST API. Umożliwia to użytkownikom z rolą, która normalnie nie może publikować, takim jak contributor, publikowanie treści bezpośrednio i ominięcie przeglądu redakcyjnego.
- CVE-2026-84745Niskie
Wtyczka Events Calendar dla WordPressa przed wersją 6.17.3.1 nie ogranicza dostępu do niepublicznych treści w publicznych archiwach REST, umożliwiając użytkownikom z niskimi uprawnieniami, takim jak współautor, odczytanie pełnej treści wszystkich nieopublikowanych rekordów na stronie, w tym rekordów innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Events Calendar WordPress plugin before 6.17.5 does not perform a per-object capability check on one family of its REST write routes, allowing users with a low-privilege role such as contributor to modify, unpublish, trash and take ownership of records belonging to other users, including administrators.