Плагин Eventin — Календарь событий, регистрация событий, билеты и бронирование (AI Powered) для WordPress уязвим для обхода авторизации во всех версиях до 4.1.17 включительно. Это связано с тем, что плагин не проверяет должным образом право пользователя на выполнение действия. Это позволяет злоумышленникам, прошедшим проверку подлинности, с доступом на уровне подписчика и выше, просматривать, создавать, обновлять, клонировать и удалять рабочие процессы автоматизации событий потока уведомлений, которые должны быть доступны только администраторам.
Показать оригинальное описание (EN)
The Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.1.17. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to view, create, update, clone, and delete notification flow event automation workflows that should be restricted to administrators.
Характеристики атаки
Последствия
Строка CVSS v3.1