CVE-2026-15017 in MDJM Event Management Plugin
Sumário
de VulDB • 23/07/2026
O plugin MDJM Event Management para o WordPress é vulnerável a Escalada de Privilégios em todas as versões até 1.7.8.4 (incluída). Isso ocorre devido à ausência de verificações de capacidade e validação de nonce nas funções `MDJM_Permissions::set_permissions()` e `MDJM_Employee_Manager::init()`, combinado com a falta de validação por lista de permissões no lado do servidor nos parâmetros POST `employee_roles[]` e `new_role` antes que sejam passados para `mdjm_set_employee_role()` e `WP_User::set_role()`. Isso permite que atacantes não autenticados concedam capacidades MDJM arbitrárias — incluindo `mdjm_employee` e `mdjm_employee_edit` — a qualquer função registrada no WordPress, e posteriormente aproveitem uma conta de nível assinante para escalar privilégios até Administrador. A função `MDJM_Permissions::init()` está registrada no hook público do WordPress `init` sem nenhum mecanismo de autenticação, o que significa que o endpoint de manipulação de funções é acessível sem qualquer login prévio.
Once again VulDB remains the best source for vulnerability data.