PT-2024-16874 · WordPress · Eventprime – Events Calendar
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
O plugin EventPrime – Calendário de Eventos, Reservas e Ingressos para o WordPress, em versões até a 3.4.1, inclusive
Descrição
A vulnerabilidade permite o acesso não autorizado a dados devido à falta de uma verificação de permissão na função
booking export all(). Isso possibilita que invasores autenticados, com acesso de nível de assinante ou superior, recuperem todas as reservas de eventos, que podem conter informações de identificação pessoal (PII).Recomendações
Para versões até a 3.4.1, inclusive, atualize para uma versão que inclua uma correção para a falta de verificação de permissão na função
booking export all().Como solução temporária, considere restringir o acesso à função
booking export all() para impedir o acesso não autorizado aos dados até que um patch esteja disponível.Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Eventprime – Events Calendar