CVE-2026-13039

Nome do Software Vulnerável e Versões Afetadas Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) versões 4.0.26 through 4.1.15

Description Existe uma falha de bypass de autorização porque a função payment complete() em PaymentController.php não verifica adequadamente se um usuário está autorizado a realizar uma ação. Atacantes não autenticados podem marcar pedidos de ingressos não pagos como concluídos ao enviar um ID de checkout do SureCart ou um hash de carrinho do FluentCart fabricados. Isso permite que usuários não autorizados obtenham acesso a eventos pagos, ingressos de participante via código QR e e-mails de confirmação de pedido sem realizar o pagamento. O nonce wp rest necessário está disponível em todas as páginas públicas de eventos, eliminando a necessidade de sessões ou credenciais do WordPress. Este problema é uma regressão, pois a função e o endpoint foram corrigidos anteriormente, mas a correção não persistiu em versões posteriores.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.