CVE-2026-16304 Toma de control de entradas arbitrarias en WP Event Manager
El plugin WP Event Manager de WordPress antes de 3.4.2 no valida correctamente la propiedad ni el tipo de los identificadores de entradas provistos por el usuario en uno de sus formularios del frontend, lo que permite a cualquier usuario con cuenta Subscriber o superior reasignarse la autoría de entradas arbitrarias y forzar su publicación. Esto implica toma de control de contenido y divulgación pública de contenido privado o en borrador, y requiere que la función de frontend correspondiente esté habilitada.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 10
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
WP Event Manager
hasta antes de 3.4.2
Qué hacer
- Verificá si usás WP Event Manager y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.1 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadNinguna
Descripción original
The WP Event Manager WordPress plugin before 3.4.2 does not properly validate ownership or the type of the user-supplied post identifiers processed by one of its frontend forms, allowing any user with a Subscriber account or above to reassign the authorship of arbitrary posts to themselves and to force them to be published. This results in content takeover and in the public disclosure of otherwise private or draft content, and requires the relevant frontend feature to be enabled.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.