CVE-2026-8608
Açıklama
WordPress için The Event Monster – Event Management, Events Calendar, Tickets eklentisinin 2.1.0 ve önceki sürümleri, Veri Özgünlüğünün Yetersiz Doğrulanması zafiyetine sahiptir. Bu durum, capture_payment() AJAX işleyicisinin (wp_ajax_nopriv_em_capture_payment aracılığıyla kaydedilen), işlem kimliği, tutar ve ödeme durumu dahil olmak üzere istemci tarafından sağlanan ödeme verilerine; PayPal API'si veya başka bir ödeme ağ geçidi üzerinden herhangi bir sunucu tarafı doğrulaması yapmadan ve nonce veya yetenek kontrollerini gerçekleştirmeden güvenmesinden kaynaklanmaktadır. Bu durum, kimlik doğrulaması yapmamış saldırganların sahte ödeme kayıtları oluşturmasına, rezervasyonları Tamamlandı olarak işaretlemesine ve gerçek bir ödeme yapmadan geçerli QR kodlu biletler içeren onay e-postaları almasına olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| awordpresslife Event Monster – Event Manager, Ticket Booking & Registration | v ≤ 2.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.