CVE-2026-86442 IDOR en WP Event Manager permite sobrescribir entradas no publicadas sin autenticación
El plugin WP Event Manager para WordPress antes de 3.4.2 no verifica la propiedad ni el tipo de entrada de un identificador de entrada proporcionado por el usuario en su flujo de envío de eventos del front-end, lo que permite a atacantes no autenticados leer y sobrescribir el contenido de entradas y páginas no publicadas arbitrarias y convertirlas en eventos. Se corrige en la versión 3.4.2.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 9
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
WP Event Manager
desde 3.4.0 hasta antes de 3.4.2
Qué hacer
- Verificá si usás WP Event Manager y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.2 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadAlta
- DisponibilidadNinguna
Descripción original
The WP Event Manager WordPress plugin before 3.4.2 does not verify the ownership or the post type of a user supplied post identifier in its front-end event submission flow, allowing unauthenticated attackers to read and overwrite the content of arbitrary unpublished posts and pages, and to convert them into events.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.