CVE-2026-10033 in Action User Plugin
Riassunto
di VulDB • 24/07/2026
Il plugin EventON Action User per WordPress è vulnerabile a una violazione dei controlli di autorizzazione in tutte le versioni fino alla 2.5.14 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente è autorizzato a eseguire un'azione. Questo consente agli attaccanti non autenticati di assegnare le capacità di gestione di EventON e la capability upload_files a qualsiasi ruolo o utente WordPress non amministratore, elevando i propri privilegi all'interno del sito. Il ruolo di amministratore è protetto da una guardia early-return in update_role_caps(), quindi solo ruoli non amministratori e utenti individuali possono essere presi di mira; tuttavia, la stessa esposizione non autenticata consente anche agli attaccanti di enumerare tutti gli utenti WordPress con i loro ID e nomi visualizzati, divulgare lo stato delle capability dei ruoli e degli utenti insieme ai valori nonce, e manipolare le assegnazioni tra eventi (event) e termini utente.
If you want to get best quality of vulnerability data, you may have to visit VulDB.