VULNERABILIDADDetectada 07 NOV · 07:27

CVE-2026-107616 Exposición de datos de asistentes por falta de autorización en Amelia

El plugin Amelia para WordPress es vulnerable a acceso no autorizado a datos de asistentes por falta de verificación en GetEventAttendeesCommandHandler::handle() en versiones hasta la 9.9.1 inclusive. Solo se exige la capacidad amelia_read_events, que posee el rol wpamelia-customer, sin verificar que el usuario sea organizador del evento indicado por el parámetro id, permitiendo exportar el CSV completo de datos personales de asistentes de cualquier evento.

7.5ALTA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,5 % · percentil 43
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

melograno Booking for Appointments and Events Calendar – Amelia
desde 9.0 hasta 9.9.1

Qué hacer

Verificá si usás Booking for Appointments and Events Calendar – Amelia y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadNinguna
DisponibilidadNinguna

Descripción original

The Amelia plugin for WordPress is vulnerable to unauthorized access of attendee data due to a missing authorization check on the GetEventAttendeesCommandHandler::handle() function in versions up to, and including, 9.9.1. The handler only enforces the broad `amelia_read_events` capability — which the plugin's own `wpamelia-customer` role possesses — and does not verify that the authenticated user is an organizer/provider of the event referenced by the client-supplied `id` query parameter. This makes it possible for authenticated attackers, with wpamelia-customer-level access and above, to export the full CSV of attendee personally identifiable information (first/last name, email, phone, date of birth, gender, private notes, payment amounts/methods, WooCommerce order IDs, custom-field values, and uploaded-file URLs) for any Amelia event on the site by directly invoking the `/report/event/attendees` endpoint with an arbitrary event ID.

Referencias (6)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.