CVE-2026-13169
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje prawidłowo własności wydarzeń przed umożliwieniem ich modyfikacji, usunięcia lub przypisania do innego autora, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na zmianę, usunięcie lub przejęcie wydarzeń utworzonych przez innych, w tym administratorów.
Ocena ryzyka
Użytkownicy o niskich uprawnieniach mogą przejmować wydarzenia administratorów, co może prowadzić do manipulacji treścią i utraty integralności danych.
Rekomendacja
Zaktualizuj wtyczkę do wersji 4.1.21 lub nowszej, która zawiera poprawki weryfikacji własności wydarzeń.
Oryginalny opis (angielski, źródło NVD)
The Eventin WordPress plugin before 4.1.21 does not properly verify ownership of events before allowing them to be modified, deleted, or reassigned to a different author, allowing users with contributor-level access and above to alter, delete, or take over events created by other users including administrators.