CVE-2026-9701

إصدارات Eventer الأقدم من 4.4.3

يستخدم المكون الإضافي آلية غير آمنة لإعادة تعيين كلمة المرور. عند طلب إعادة تعيين كلمة المرور، يتم تخزين نسخة من مفتاح إعادة التعيين بنص عادي في حقل بيانات المستخدم eventer verification code داخل جدول wp usermeta. يمكن للمهاجم الذي يحصل على هذا المفتاح النصي العادي استخدام إجراء إعادة التعيين المخصص للمكوّن الإضافي لتغيير كلمة مرور أي حساب مستخدم، بما في ذلك الحسابات التي تتمتع بامتيازات المسؤول. وتزداد خطورة هذه المشكلة بشكل خاص عند اقترانها بثغرات أخرى تسمح باستخراج البيانات من قاعدة البيانات. ولا تعمل وظيفة إعادة تعيين كلمة المرور إلا على إصدارات PHP حتى الإصدار 7.4.

تحديث المكوّن الإضافي إلى إصدار أحدث من 4.4.2.

تقييد الوصول إلى حقل بيانات المستخدم eventer verification code لمنع الاستخراج غير المصرح به لمفاتيح إعادة التعيين.