CVE-2026-10033

Nome do Software Vulnerável e Versões Afetadas EventON Action User versões anteriores a 2.5.15

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes não autenticados podem explorar isso para conceder capacidades de gerenciamento do EventON e a capacidade upload files a qualquer função ou usuário do WordPress que não seja administrador, resultando em escalonamento de privilégios. Embora a função de administrador seja protegida por um guardião de retorno antecipado na função update role caps(), a vulnerabilidade permite que atacantes enumerem todos os usuários do WordPress, incluindo seus IDs e nomes de exibição, divulguem estados de capacidade de função e usuário junto com valores de nonce, e adulterem atribuições de termos de evento para usuário através do endpoint AJAX evoau save capability.

Recomendações Atualize o EventON Action User para a versão 2.5.15 ou posterior.