CVE-2026-86794 XSS almacenado sin autenticación en el formulario de envío de eventos de Community Events
El plugin de WordPress Community Events no realiza comprobaciones de autorización ni de nonce al procesar envíos públicos de eventos, y no escapa varios de los valores enviados antes de mostrarlos en el panel de administración y en el calendario público. Usuarios no autenticados pueden inyectar scripts web arbitrarios que se ejecutan en el navegador de un administrador que revisa el envío. Corregido en 1.6.0.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 20
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Community Events
desde 1.4.9 hasta antes de 1.6.0
Qué hacer
- Verificá si usás Community Events y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.8 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The Community Events WordPress plugin before 1.6.0 does not have authorisation or nonce checks when processing public event submissions, and does not escape several of the submitted values before outputting them in the administration dashboard and on the public calendar, allowing unauthenticated users to inject arbitrary web scripts that will execute in the browser of an administrator reviewing the submission.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.