CVE-2026-116394
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka WpEvently firmy Magepeople inc. zawiera podatność typu Basic XSS polegającą na niewłaściwej neutralizacji znaczników HTML powiązanych ze skryptami, co umożliwia wstrzyknięcie kodu. Problem dotyczy WpEvently w wersjach od n/a do 5.7.9.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt do strony WordPress, co może prowadzić do przejęcia sesji administratora lub modyfikacji treści.
Rekomendacja
Zaktualizuj wtyczkę WpEvently do wersji nowszej niż 5.7.9.
Inne podatności w WpEvently
Zobacz wszystkie- CVE-2026-114192Średnie
Wtyczka WpEvently (wersje do 5.7.8) firmy Magepeople inc. zawiera podatność braku autoryzacji. Umożliwia ona wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-81802Średnie
Wtyczka WpEvently w wersjach do 5.6.0 zawiera podatność na nieuwierzytelnione niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Oznacza to, że osoba atakująca bez logowania może uzyskać dostęp do zasobów, do których nie powinna mieć uprawnień.
- CVE-2026-81761Średnie
Wtyczka WpEvently w wersji 5.5.0 i wcześniejszych ma podatność Broken Access Control dla subskrybentów. Użytkownicy o roli subskrybenta mogą uzyskać nieautoryzowany dostęp do funkcji administracyjnych.
- CVE-2026-81759Średnie
Wtyczka WpEvently w wersji 5.5.0 i wcześniejszych ma podatność Broken Access Control dla kontrybutorów. Użytkownicy o roli kontrybutora mogą uzyskać nieautoryzowany dostęp do funkcji administracyjnych.
- CVE-2026-45441Wysokie
WpEvently w wersjach do 5.3.3 zawiera nieautoryzowaną podatność, która może być wykorzystana przez atakujących.
- CVE-2024-32110Średnie
We wtyczce WpEvently dla WordPressa (do wersji 4.1.2) wykryto podatność na fałszowanie żądań międzywitrynowych (CSRF). Brak odpowiednich zabezpieczeń umożliwia atakującemu wykonanie nieautoryzowanych działań w kontekście uwierzytelnionego użytkownika.
- CVE-2025-66083Średnie
Wtyczka WpEvently (mage-eventpress) w wersjach do 5.0.4 włącznie ma brak autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2025-66082Średnie
Wtyczka WordPress WpEvently (do wersji 5.0.4) ma brakującą autoryzację, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieautoryzowane działania w obrębie wtyczki.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS) vulnerability in Magepeople inc. WpEvently mage-eventpress allows Code Injection.This issue affects WpEvently: from n/a through 5.7.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS