CVE-2025-4796

إصدارات Eventin حتى الإصدار 4.0.34

المكوّن الإضافي Eventin الخاص بـ WordPress معرض لخطر تصعيد الصلاحيات، مما قد يؤدي إلى الاستيلاء على الحساب. ويحدث ذلك لأن المكوّن الإضافي لا يتحقق بشكل كافٍ من هوية المستخدم أو صلاحياته قبل السماح بتحديث تفاصيل المستخدم، مثل عناوين البريد الإلكتروني. وعلى وجه التحديد، تتأثر الدالة update item الموجودة ضمن فئة EventinSpeakerApiSpeakerController. يمكن للمهاجمين غير المصادق عليهم الذين يمتلكون أذونات على مستوى المساهم أو أعلى استغلال هذا الخلل لتعديل عناوين البريد الإلكتروني لأي مستخدم، بما في ذلك المسؤولين، ومن ثم إعادة تعيين كلمات المرور للحصول على وصول غير مصرح به.

تتأثر إصدارات Eventin السابقة للإصدار 4.0.34.

قم بالتحديث إلى إصدار أحدث من 4.0.34.

كحل مؤقت، قم بتقييد الوصول إلى الدالة update item الموجودة ضمن فئة EventinSpeakerApiSpeakerController.