CVE-2026-86795 Exposición de eventos pendientes en Community Events mediante ajax_admin_event_list
El plugin Community Events para WordPress antes de 1.6.0 no realiza controles de autorización ni de nonce en una de sus acciones AJAX, lo que permite a usuarios no autenticados obtener los detalles de envíos de eventos pendientes de moderación, que no están disponibles en el sitio público. Se corrige en la versión 1.6.0.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 9
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Community Events
hasta antes de 1.6.0
Qué hacer
- Verificá si usás Community Events y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The Community Events WordPress plugin before 1.6.0 does not have authorisation or nonce checks in one of its AJAX actions, allowing unauthenticated users to retrieve details of event submissions awaiting moderation, which are not available anywhere on the public site.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.