CVE-2026-9701
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Eventer dla WordPressa do wersji 4.4.2 włącznie przechowuje klucz resetowania hasła w postaci zwykłego tekstu w polu meta użytkownika `eventer_verification_code`. W połączeniu z inną podatnością, taką jak SQL Injection (CVE-2026-9700), nieuwierzytelniony atakujący może wyodrębnić ten klucz i przejąć konto dowolnego użytkownika, w tym administratora.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości całkowitego przejęcia kont administratora, co prowadzi do nieautoryzowanego dostępu do panelu administracyjnego WordPressa, kradzieży danych i dalszej kompromitacji serwisu.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Eventer do najnowszej dostępnej wersji, która usuwa tę lukę. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę i rozważ użycie alternatywnego rozwiązania do zarządzania wydarzeniami.
Oryginalny opis (angielski, źródło NVD)
The Eventer plugin for WordPress is vulnerable to an insecure password reset mechanism in all versions up to, and including, 4.4.2. The plugin stores a plaintext copy of the password reset key in the `eventer_verification_code` user meta field when a user requests a password reset. The plaintext key stored in `wp_usermeta` can be used with the plugin's custom reset action to set a new password for any user. Combined with another vulnerability such as SQL Injection (CVE-2026-9700), this makes it possible for unauthenticated attackers to extract the plaintext reset key and take over any user account, including administrators. Note: The password reset function only works up to PHP version 7.4.