CVE-2026-88800 Eliminación arbitraria de roles sin autenticación en MDJM Event Management y Mobile Events Manager
Los plugins de WordPress MDJM Event Management y Mobile Events Manager hasta la versión 1.7.8.7 procesan una solicitud de eliminación de rol en cada carga de página sin verificación de capacidades ni nonce, y la validación que debía proteger los roles con usuarios asignados lee una parte distinta de la solicitud. Esto permite a atacantes no autenticados eliminar cualquier rol de WordPress, incluido administrator, lo que quita permanentemente las capacidades a todos los usuarios.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 23
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
MDJM Event Management
hasta 1.7.8.7
Mobile Events Manager
hasta 1.7.8.7
Qué hacer
- Verificá si usás MDJM Event Management y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.1 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The MDJM Event Management and Mobile Events Manager WordPress plugins through 1.7.8.7 act on a role deletion request on every page load with no capability check and no nonce, and the guard meant to protect roles that have users assigned reads a different part of the request from the one that selects what is deleted, allowing unauthenticated attackers to remove any WordPress role including administrator, which permanently strips every user of their capabilities.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.