Podatności Event Tickets and Registration

Wtyczka Event Tickets and Registration dla WordPressa jest podatna na ogólną injekcję SQL poprzez parametr 'orderby' we wszystkich wersjach do 5.29.5 włącznie, z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co umożliwia wyodrębnienie poufnych informacji z bazy danych. Użytkownik na poziomie Contributor może osiągnąć podatną ścieżkę kodu, podając post_id, którego jest autorem, ponieważ brama can_access_page() wymaga jedynie autorstwa posta, a nie uprawnienia edit_others_posts dla właścicieli postów.

Wtyczka Event Tickets and Registration dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie zwrotnym OAuth Stripe we wszystkich wersjach do 5.27.4 włącznie. Umożliwia to nieuwierzytelnionym atakującym nadpisanie poświadczeń Stripe sklepu (tokeny dostępu, klucze publikowalne i identyfikator konta), przekierowując całe przetwarzanie płatności na konto Stripe atakującego.

Wtyczka Event Tickets and Registration dla WordPressa przed wersją 5.28.4 nieprawidłowo escapuje tytuły wydarzeń przed wyświetleniem ich w historii biletów. Umożliwia to użytkownikom z rolą Editor i wyższym przeprowadzenie ataków Stored Cross-Site Scripting (XSS), które wykonują się przeciwko użytkownikom z wyższymi uprawnieniami w instalacjach multisite.