CVE-2026-88801
WysokieCVSS 8.0Streszczenie
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 nie sprawdzają uprawnień ani nonce przed utworzeniem roli WordPress z nazwy podanej w żądaniu i przechowują tę nazwę bez escapowania. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, wstrzyknąć dowolne skrypty internetowe, które wykonują się, gdy administrator otworzy jeden ze standardowych ekranów zarządzania użytkownikami.
Ocena ryzyka
Atakujący może wykonać złośliwe skrypty w przeglądarce administratora, co może prowadzić do przejęcia sesji lub wykonania działań w imieniu administratora.
Rekomendacja
Zaktualizuj wtyczki MDJM Event Management i Mobile Events Manager do wersji nowszej niż 1.7.8.7 lub wyłącz je do czasu wydania poprawki.
Inne podatności w MDJM Event Management and Mobile Events Manager WordPress plugins
Zobacz wszystkie- CVE-2026-88799Wysokie
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 nie sprawdzają własności ani uprawnień dla identyfikatora podanego w aktualizacji profilu klienta. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, zmienić hasło i adres e-mail dowolnego innego konta, w tym administratora, co prowadzi do pełnego przejęcia konta.
- CVE-2026-88800Krytyczne
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 wykonują żądanie usunięcia roli przy każdym załadowaniu strony bez sprawdzenia uprawnień i bez nonce. Zabezpieczenie chroniące role z przypisanymi użytkownikami odczytuje inną część żądania niż ta, która wybiera usuwaną rolę, co pozwala nieuwierzytelnionym atakującym usunąć dowolną rolę WordPress, w tym administratora.
Oryginalny opis (angielski, źródło NVD)
The MDJM Event Management and Mobile Events Manager WordPress plugins through 1.7.8.7 do not check a capability or a nonce before creating a WordPress role from a name supplied in the request, and store that name without escaping it, allowing any authenticated user, such as a subscriber, to inject arbitrary web scripts which execute when an administrator opens one of the standard user management screens.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS