CVE-2025-4796 in Eventin Plugin
Tóm tắt
Bởi VulDB • 29/07/2026
Plugin Eventin cho WordPress có lỗ hổng tăng đặc quyền thông qua chiếm đoạt tài khoản trong tất cả các phiên bản từ 4.0.34 trở về trước (bao gồm cả 4.0.34). Nguyên nhân là do plugin không xác thực đúng đắn danh tính hoặc khả năng của người dùng trước khi cập nhật các chi tiết như địa chỉ email trong hàm 'Eventin\Speaker\Api\SpeakerController::update_item'. Điều này cho phép những kẻ tấn công chưa được xác thực có quyền mức đóng góp (contributor) trở lên thay đổi địa chỉ email của bất kỳ người dùng nào, bao gồm cả quản trị viên, và lợi dụng điều đó để đặt lại mật khẩu của người dùng nhằm chiếm quyền truy cập vào tài khoản của họ.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.