Плагин управления внешним интерфейсом приписывал вновь созданное событие записи организатора отправившего пользователя только в том случае, если запрос не предоставил собственного организатора. Сопутствующая проверка разрешений подтвердила только то, что отправивший пользователь имел какую-либо роль организатора. Таким образом, пользователь с доступом к внешнему управлению событиями может создать событие, которое будет приписано другому организатору.
Показать оригинальное описание (EN)
The frontend management plugin attributed a newly created event to the submitting user's organizer record only when the request supplied no organizer of its own. The accompanying permission check confirmed only that the submitting user held any organizer role. A user with frontend event management access could therefore create an event that is attributed to another organizer.
Характеристики атаки
Последствия
Строка CVSS v4.0