CVE-2026-123129 Manipulación de precios de entradas en Event Tickets Manager for WooCommerce
El plugin no valida el precio del tipo de entrada enviado a una de sus acciones AJAX no autenticadas cuando el producto referenciado no tiene tipos de entrada configurados, y almacena el precio enviado a nivel de todo el sitio. Esto permite a visitantes no autenticados comprar entradas a un precio arbitrario, incluso gratis. Corregido en la versión 1.6.0.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 2
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Event Tickets Manager for WooCommerce
desde 1.5.4 hasta antes de 1.6.0
Qué hacer
- Verificá si usás Event Tickets Manager for WooCommerce y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Event Tickets Manager for WooCommerce WordPress plugin before 1.6.0 does not validate the ticket-type price sent to one of its unauthenticated AJAX actions when the referenced product has no ticket types configured, and stores the submitted price site-wide, where it is applied to the next event ticket added to any cart, allowing unauthenticated visitors to buy event tickets at an arbitrary price, including for free.
This is due to an incomplete fix of CVE-2026-34898.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.