CVE-2026-10033 in Action User Plugin
Résumé
par VulDB • 24/07/2026
Le plugin EventON Action User pour WordPress présente une vulnérabilité de contournement d'autorisation dans toutes les versions jusqu'à la 2.5.14 incluse. Cela est dû au fait que le plugin ne vérifie pas correctement qu'un utilisateur est autorisé à effectuer une action. Il devient ainsi possible pour des attaquants non authentifiés d'accorder aux rôles ou utilisateurs WordPress autres qu'administrateur les capacités de gestion EventON et la capacité upload_files, augmentant leurs privilèges sur le site. Le rôle administrateur est protégé par un garde-fou early-return dans update_role_caps(), seuls les rôles autre que ceux des administrateurs et les utilisateurs individuels peuvent donc être ciblés ; toutefois, cette même exposition non authentifiée permet également aux attaquants d'énumérer tous les utilisateurs WordPress avec leurs identifiants (IDs) et noms affichés, de divulguer l'état des capacités liées au rôle et à l'utilisateur ainsi que les valeurs nonce, et de modifier les affectations entre événements et termes utilisateur.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.