CVE-2026-84745
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Events Calendar dla WordPressa przed wersją 6.17.3.1 nie ogranicza dostępu do niepublicznych treści w publicznych archiwach REST, umożliwiając użytkownikom z niskimi uprawnieniami, takim jak współautor, odczytanie pełnej treści wszystkich nieopublikowanych rekordów na stronie, w tym rekordów innych użytkowników.
Ocena ryzyka
Ujawnienie nieopublikowanych treści może prowadzić do wycieku poufnych informacji, naruszenia prywatności użytkowników lub ujawnienia planów wydarzeń przed ich publikacją.
Rekomendacja
Zaktualizuj wtyczkę Events Calendar do wersji 6.17.3.1 lub nowszej, która zawiera poprawkę ograniczającą dostęp do niepublicznych treści.
Inne podatności w Events Calendar
Zobacz wszystkie- CVE-2026-84743Niskie
Wtyczka Events Calendar dla WordPressa przed wersją 6.17.5 nie wykonuje kontroli uprawnień per obiekt na jednej rodzinie swoich tras REST do zapisu. Umożliwia to użytkownikom z niskimi uprawnieniami, takim jak contributor, modyfikowanie, publikowanie, przenoszenie do kosza i przejmowanie rekordów należących do innych użytkowników, w tym administratorów.
- CVE-2026-84742Niskie
Wtyczka Events Calendar dla WordPressa przed wersją 6.17.5 nie sprawdza uprawnień wymaganych do publikowania treści przed utworzeniem lub aktualizacją przez REST API. Umożliwia to użytkownikom z rolą, która normalnie nie może publikować, takim jak contributor, publikowanie treści bezpośrednio i ominięcie przeglądu redakcyjnego.
Oryginalny opis (angielski, źródło NVD)
The Events Calendar WordPress plugin before 6.17.3.1 does not restrict non-public content to the users entitled to read it on its public REST archives, allowing users with a low-privilege role such as contributor to read the full contents of every unpublished record on the site, including other users'.