VULNERABILIDAD
CVE-2026-110069 Exposición de datos sensibles en Modern Events Calendar Lite vía AJAX
El plugin de WordPress Modern Events Calendar Lite antes de 7.37.0 no realiza comprobaciones de capacidades, nonce ni propiedad antes de devolver datos de reservas y asistentes a eventos. Esto permite a cualquier usuario autenticado, incluidos los Subscriber, divulgar nombres, direcciones de correo, IDs de transacción e importes de pago de todas las reservas del sitio mediante las acciones AJAX mec_event_bookings y mec_attendees. Corregido en 7.37.0.
Alerta de Nureq Monitor
Detectada 18 OCT · 03:58
CVSS 3.1
4.3MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 7
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-110069
El plugin de WordPress Modern Events Calendar Lite antes de 7.37.0 no realiza comprobaciones de capacidades, nonce ni propiedad antes de devolver datos de reservas y asistentes a eventos. Esto permite a cualquier usuario autenticado, incluidos los Subscriber, divulgar nombres, direcciones de correo, IDs de transacción e importes de pago de todas las reservas del sitio mediante las acciones AJAX mec_event_bookings y mec_attendees. Corregido en 7.37.0.
Productos y versiones afectadas
Modern Events Calendar Lite
Qué hacer
- Verificá si usás Modern Events Calendar Lite y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 4.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Baja
- INTEGRIDAD (I)
- Ninguna
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
The Modern Events Calendar Lite WordPress plugin before 7.37.0 does not perform capability, nonce, or ownership checks before returning event booking and attendee data, allowing any authenticated user, including Subscribers, to disclose the names, email addresses, transaction IDs and payment amounts of every booking on the site.
Referencias
- wpscan.com/vulnerability/5d5a24fe-1fb9-48ae-bd5c-de95b04c5f21/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.