CVE-2026-88799
WysokieCVSS 8.8Streszczenie
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 nie sprawdzają własności ani uprawnień dla identyfikatora podanego w aktualizacji profilu klienta. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, zmienić hasło i adres e-mail dowolnego innego konta, w tym administratora, co prowadzi do pełnego przejęcia konta.
Ocena ryzyka
Atakujący może przejąć konto administratora, uzyskując pełną kontrolę nad witryną i dostęp do poufnych danych.
Rekomendacja
Zaktualizuj wtyczki MDJM Event Management i Mobile Events Manager do wersji nowszej niż 1.7.8.7 lub wyłącz je do czasu wydania poprawki.
Inne podatności w MDJM Event Management and Mobile Events Manager WordPress plugins
Zobacz wszystkie- CVE-2026-88801Wysokie
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 nie sprawdzają uprawnień ani nonce przed utworzeniem roli WordPress z nazwy podanej w żądaniu i przechowują tę nazwę bez escapowania. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, wstrzyknąć dowolne skrypty internetowe, które wykonują się, gdy administrator otworzy jeden ze standardowych ekranów zarządzania użytkownikami.
- CVE-2026-88800Krytyczne
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 wykonują żądanie usunięcia roli przy każdym załadowaniu strony bez sprawdzenia uprawnień i bez nonce. Zabezpieczenie chroniące role z przypisanymi użytkownikami odczytuje inną część żądania niż ta, która wybiera usuwaną rolę, co pozwala nieuwierzytelnionym atakującym usunąć dowolną rolę WordPress, w tym administratora.
Oryginalny opis (angielski, źródło NVD)
The MDJM Event Management and Mobile Events Manager WordPress plugins through 1.7.8.7 do not check ownership or capability on the identifier supplied to their client profile update, allowing any authenticated user, such as a subscriber, to change the password and email address of any other account including an administrator, resulting in a full account takeover.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS