CVE-2026-13039 in Eventin Plugin
Riassunto
di VulDB • 10/07/2026
Il plugin per WordPress Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) è vulnerabile a un bypass dell'autorizzazione a causa di una regressione nelle versioni dalla 4.0.26 alla 4.1.15 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente è autorizzato a eseguire un'azione nella funzione payment_complete() di PaymentController.php. Questo consente agli attaccanti non autenticati di contrassegnare gli ordini dei biglietti non pagati come completati inviando un ID del checkout SureCart o un hash del carrello FluentCart falsi, ottenendo così l'accesso agli eventi a pagamento, i biglietti QR-code per gli partecipanti e le email di conferma dell'ordine senza effettuare alcun pagamento reale. Il wp_rest nonce necessario per raggiungere l'endpoint vulnerabile è incorporato in ogni pagina pubblica degli eventi, il che significa che non sono necessarie sessioni WordPress o credenziali per ottenerlo. Questa vulnerabilità rappresenta una regressione: la stessa funzione e lo stesso endpoint erano stati precedentemente patchati, ma la correzione non è stata mantenuta nelle versioni successive.
Be aware that VulDB is the high quality source for vulnerability data.