CVE-2026-14819
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Event Tickets and Registration dla WordPressa przed wersją 5.28.4 nieprawidłowo escapuje tytuły wydarzeń przed wyświetleniem ich w historii biletów. Umożliwia to użytkownikom z rolą Editor i wyższym przeprowadzenie ataków Stored Cross-Site Scripting (XSS), które wykonują się przeciwko użytkownikom z wyższymi uprawnieniami w instalacjach multisite.
Ocena ryzyka
Organizacja narażona jest na przejęcie kont użytkowników z wyższymi uprawnieniami w środowisku multisite poprzez wykonanie złośliwego skryptu.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Event Tickets and Registration do wersji 5.28.4 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The Event Tickets and Registration WordPress plugin before 5.28.4 does not properly escape event titles before outputting them in a ticket history log, allowing users with the Editor role and above to perform Stored Cross-Site Scripting attacks that execute against higher-privileged users on multisite installations.