CVE-2026-8608
Təsvir
WordPress üçün nəzərdə tutulmuş The Event Monster – Event Management, Events Calendar, Tickets plagini 2.1.0 daxil olmaqla daha aşağı versiyalarda Məlumatların Autentifikasiyasının Qeyri-Kifayət qədər Yoxlanılmasına qarşı həssasdır. Bu, capture_payment() AJAX idarəçisinin (wp_ajax_nopriv_em_capture_payment vasitəsilə qeydiyyata alınmışdır) tranzaksiya ID-si, məbləğ və ödəniş statusu daxil olmaqla müştəri tərəfindən təqdim edilən ödəniş məlumatlarına, PayPal API və ya hər hansı digər ödəniş şlüzü ilə server tərəfli yoxlama aparmadan, həmçinin nonce və ya səlahiyyət yoxlamaları etmədən etibar etməsi səbəbindən baş verir. Bu, autentifikasiya olunmamış hücumçulara ödəniş qeydlərini saxtalaşdırmağa, rezervasiyaları Tamamlandı kimi qeyd etməyə və heç bir real ödəniş etmədən etibarlı QR kod biletləri olan təsdiq e-poçtlarını əldə etməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| awordpresslife Event Monster – Event Manager, Ticket Booking & Registration | v ≤ 2.1.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.