CVE-2026-88800
KrytyczneCVSS 9.1Streszczenie
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 wykonują żądanie usunięcia roli przy każdym załadowaniu strony bez sprawdzenia uprawnień i bez nonce. Zabezpieczenie chroniące role z przypisanymi użytkownikami odczytuje inną część żądania niż ta, która wybiera usuwaną rolę, co pozwala nieuwierzytelnionym atakującym usunąć dowolną rolę WordPress, w tym administratora.
Ocena ryzyka
Atakujący może trwale odebrać uprawnienia wszystkim użytkownikom, w tym administratorom, co prowadzi do paraliżu zarządzania witryną i utraty kontroli nad systemem.
Rekomendacja
Zaktualizuj wtyczki MDJM Event Management i Mobile Events Manager do wersji nowszej niż 1.7.8.7 lub wyłącz je do czasu wydania poprawki.
Inne podatności w MDJM Event Management and Mobile Events Manager WordPress plugins
Zobacz wszystkie- CVE-2026-88801Wysokie
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 nie sprawdzają uprawnień ani nonce przed utworzeniem roli WordPress z nazwy podanej w żądaniu i przechowują tę nazwę bez escapowania. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, wstrzyknąć dowolne skrypty internetowe, które wykonują się, gdy administrator otworzy jeden ze standardowych ekranów zarządzania użytkownikami.
- CVE-2026-88799Wysokie
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 nie sprawdzają własności ani uprawnień dla identyfikatora podanego w aktualizacji profilu klienta. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, zmienić hasło i adres e-mail dowolnego innego konta, w tym administratora, co prowadzi do pełnego przejęcia konta.
Oryginalny opis (angielski, źródło NVD)
The MDJM Event Management and Mobile Events Manager WordPress plugins through 1.7.8.7 act on a role deletion request on every page load with no capability check and no nonce, and the guard meant to protect roles that have users assigned reads a different part of the request from the one that selects what is deleted, allowing unauthenticated attackers to remove any WordPress role including administrator, which permanently strips every user of their capabilities.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS