PT-2025-7501 · WordPress · Event Tickets/Registration

Audrey François + 1 · Publicado 2025-02-21 · Atualizado 2025-02-21 · CVE-2025-1402

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Event Tickets and Registration para WordPress, versões até e incluindo a 5.19.1.1

Descrição O problema está relacionado à falta de uma verificação de permissão na função ajax ticket delete, permitindo que atacantes autenticados com acesso de nível de Contribuidor ou superior excluam tickets de Participante arbitrários, resultando em perda não autorizada de dados.

Recomendações Para versões até e incluindo a 5.19.1.1, considere desativar a função ajax ticket delete até que um patch esteja disponível para prevenir a exclusão não autorizada de tickets de Participante. Restrinja o acesso à função ajax ticket delete para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-1402

Produtos afetados

Event Tickets/Registration

Referências · 10

• https://t.me/cvedetector/18653 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/event-tickets/tags/5.18.1/src/Tribe/Assets.php#L202 · Nota
• https://twitter.com/VulmonFeeds/status/1892945151942639772 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1892898697790230864 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-1402 · Aviso do Fabricante
• https://wordfence.com/threat-intel/vulnerabilities/id/dbd838b6-7792-4378-8969-a70c6e16ff6a?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-1402 · Nota de Segurança
• https://wordfence.freshdesk.com/a/tickets/375051 · Nota
• https://plugins.trac.wordpress.org/browser/event-tickets/tags/5.18.1/src/Tribe/Metabox.php#L30 · Nota
• https://plugins.trac.wordpress.org/browser/event-tickets/tags/5.18.1/src/Tribe/Metabox.php#L490 · Nota