Podatności WP Event Manager

Wtyczka WordPress WP Event Manager przed wersją 3.4.2 nie weryfikuje własności ani typu wpisu dla identyfikatora posta podanego przez użytkownika w formularzu zgłaszania wydarzeń. Umożliwia to nieuwierzytelnionym atakującym odczyt i nadpisanie treści dowolnych nieopublikowanych postów i stron oraz przekształcenie ich w wydarzenia.

Wtyczka WordPress WP Event Manager przed wersją 3.4.2 nieprawidłowo weryfikuje własność ani typ identyfikatorów postów przetwarzanych przez jeden z formularzy frontendowych. Umożliwia to użytkownikom z kontem Subscriber i wyższym przypisanie sobie autorstwa dowolnych postów i wymuszenie ich publikacji, co prowadzi do przejęcia treści i ujawnienia prywatnych lub roboczych treści; wymaga włączonej odpowiedniej funkcji frontendowej.

Wtyczka WP Event Manager od Ashok Dudhat do wersji 3.4.1 ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy WP Event Manager od wersji n/a do 3.4.1.