PT-2024-16868 · WordPress · Eventprime – Events Calendar
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
O plugin EventPrime – Calendário de Eventos, Reservas e Ingressos para o WordPress, em versões até a 3.4.1, inclusive
Descrição
O problema está relacionado ao acesso não autorizado a dados devido à falta de uma verificação de permissão na função
get attendees email by event id(). Isso permite que invasores autenticados com acesso de nível de assinante ou superior recuperem a lista de participantes de qualquer evento.Recomendações
Para versões até a 3.4.1, inclusive, considere desativar a função
get attendees email by event id() até que um patch esteja disponível para impedir o acesso não autorizado aos dados dos participantes.No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Eventprime – Events Calendar