CVE-2026-17166

Nome do Software Vulnerável e Versões Afetadas Event Booking Manager for WooCommerce versões anteriores a 5.3.8

Description Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de contribuidor ou superior podem modificar configurações de pagamento de todo o site que controlam como as reservas de eventos são processadas. Isso inclui a alteração da ativação de pagamento do WooCommerce, comportamento de redirecionamento do carrinho, requisitos de login para finalização de compra, ID da página de confirmação e status de ingressos confirmados. O problema é acionado por meio da ação AJAX mep save payment settings modal.

Recommendations Atualize para uma versão posterior à 5.3.7. Como medida de mitigação temporária, restrinja as funções de usuário para evitar que contribuidores acessem a ação AJAX mep save payment settings modal.