CVE-2026-86442
NieznaneStreszczenie
Wtyczka WordPress WP Event Manager przed wersją 3.4.2 nie weryfikuje własności ani typu wpisu dla identyfikatora posta podanego przez użytkownika w formularzu zgłaszania wydarzeń. Umożliwia to nieuwierzytelnionym atakującym odczyt i nadpisanie treści dowolnych nieopublikowanych postów i stron oraz przekształcenie ich w wydarzenia.
Ocena ryzyka
Atakujący może ujawnić prywatne lub robocze treści oraz zmodyfikować je bez logowania, co prowadzi do wycieku danych i naruszenia integralności strony.
Rekomendacja
Zaktualizuj wtyczkę WP Event Manager do wersji 3.4.2 lub nowszej.
Inne podatności w WP Event Manager
Zobacz wszystkie- CVE-2026-16304Nieznane
Wtyczka WordPress WP Event Manager przed wersją 3.4.2 nieprawidłowo weryfikuje własność ani typ identyfikatorów postów przetwarzanych przez jeden z formularzy frontendowych. Umożliwia to użytkownikom z kontem Subscriber i wyższym przypisanie sobie autorstwa dowolnych postów i wymuszenie ich publikacji, co prowadzi do przejęcia treści i ujawnienia prywatnych lub roboczych treści; wymaga włączonej odpowiedniej funkcji frontendowej.
- CVE-2026-62041Średnie
Wtyczka WP Event Manager od Ashok Dudhat do wersji 3.4.1 ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy WP Event Manager od wersji n/a do 3.4.1.
Oryginalny opis (angielski, źródło NVD)
The WP Event Manager WordPress plugin before 3.4.2 does not verify the ownership or the post type of a user supplied post identifier in its front-end event submission flow, allowing unauthenticated attackers to read and overwrite the content of arbitrary unpublished posts and pages, and to convert them into events.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS