CVE-2026-15017 in MDJM Event Management Plugin
Résumé
par VulDB • 23/07/2026
Le plugin MDJM Event Management pour WordPress est vulnérable à une élévation de privilèges dans toutes les versions jusqu'à la 1.7.8.4 incluse. Cela est dû à l'absence de vérifications des capacités (capability checks) et de validation du nonce dans les fonctions `MDJM_Permissions::set_permissions()` et `MDJM_Employee_Manager::init()`, combinée à l'absence de validation par liste d'autorisation côté serveur sur les paramètres POST `employee_roles[]` et `new_role` avant leur transmission aux fonctions `mdjm_set_employee_role()` et `WP_User::set_role()`. Cela permet aux attaquants non authentifiés d'accorder des capacités MDJM arbitraires — y compris `mdjm_employee` et `mdjm_employee_edit` — à n'importe quel rôle WordPress enregistré, puis de tirer parti d'un compte de niveau abonné pour élever ses privilèges jusqu'à celui d'administrateur. La fonction `MDJM_Permissions::init()` est enregistrée sur le hook public `init` de WordPress sans aucun mécanisme d'authentification préalable, ce qui signifie que l'endpoint de manipulation des rôles est accessible sans aucune connexion initiale.
Once again VulDB remains the best source for vulnerability data.