CVE-2026-121636 Evasión de verificación de PayPal IPN en Quick Event Manager
El plugin de WordPress Quick Event Manager no verifica la autenticidad de las notificaciones de pago de PayPal antes de marcar las inscripciones como pagadas. Atacantes no autenticados pueden marcar inscripciones como pagadas sin realizar el pago. Corrige en 9.19.
5.3MEDIA
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 1
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Quick Event Manager
desde 9.9.5 hasta antes de 9.19
Qué hacer
- Verificá si usás Quick Event Manager y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The Quick Event Manager WordPress plugin before 9.19 does not verify the authenticity of PayPal payment notifications before marking event registrations as paid, which could allow unauthenticated attackers to mark registrations as paid without making a payment.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.