CVE-2025-4796 in Eventin Plugin
要約
〜によって VulDB • 2026年07月30日
WordPress用プラグインEventinには、4.0.34を含むすべてのバージョンにおいて、アカウント乗っ取りによる権限昇格の脆弱性が存在します。これは、「Eventin\Speaker\Api\SpeakerController::update_item」関数内でメールアドレスなどのユーザー情報を更新する前に、ユーザーの身元や権限を適切に検証していないことに起因します。これにより、寄稿者レベル以上の権限を持つ認証済み攻撃者が、管理者を含む任意のユーザーのメールアドレスを変更し、それを利用してパスワードのリセットを行いアカウントへのアクセスを取得することが可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.