CVE-2026-93661

NiskieCVSS 2.7

Opublikowano: 24/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 24/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Wtyczka Events Manager dla WordPressa w wersji przed 7.4.5 nie powstrzymuje żądania aktualizacji biletu przed zastąpieniem identyfikatorów biletu, na który zostało autoryzowane. Pozwala to użytkownikowi mogącemu zarządzać biletami jednego wydarzenia nadpisać i przypisać dowolny bilet na stronie do własnego wydarzenia.

Ocena ryzyka

Użytkownik z uprawnieniami do zarządzania biletami może przejąć kontrolę nad biletami innych wydarzeń, co może prowadzić do nieautoryzowanego dostępu lub zakłóceń w sprzedaży biletów.

Rekomendacja

Zaktualizuj wtyczkę Events Manager do wersji 7.4.5 lub nowszej.

Inne podatności w Events Manager WordPress Plugin

CVE-2026-18050Wysokie
Wtyczka Events Manager dla WordPressa przed wersją 7.4 nie przeprowadza żadnej kontroli autoryzacji na trasie REST, która obsługuje tymczasowo przechowywane pliki przesłane przez użytkowników, co pozwala nieuwierzytelnionym użytkownikom na pobranie trwającego przesyłania innego użytkownika, jeśli znają jego tymczasowy identyfikator. Identyfikator jest wysokiej entropii, ujawniany tylko przesyłającemu, a plik jest usuwany po zatwierdzeniu lub przez zaplanowane czyszczenie, więc odczyt między użytkownikami nie jest osiągalny przez zgadywanie.

Oryginalny opis (angielski, źródło NVD)

The Events Manager WordPress plugin before 7.4.5 does not stop a ticket-update request from replacing the identifiers of the ticket it was authorized against, letting a user who can manage one event's tickets overwrite and reassign any ticket on the site to their own event.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS