CVE-2026-88801 XSS almacenado vía creación de roles en MDJM Event Management y Mobile Events Manager
Los plugins de WordPress MDJM Event Management y Mobile Events Manager hasta la versión 1.7.8.7 no verifican capacidades ni nonce antes de crear un rol de WordPress a partir de un nombre enviado en la solicitud, y almacenan ese nombre sin escaparlo. Esto permite a cualquier usuario autenticado, como un subscriber, inyectar scripts web arbitrarios que se ejecutan cuando un administrator abre una de las pantallas estándar de gestión de usuarios.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 20
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
MDJM Event Management
hasta 1.7.8.7
Mobile Events Manager
hasta 1.7.8.7
Qué hacer
- Verificá si usás MDJM Event Management y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.0 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The MDJM Event Management and Mobile Events Manager WordPress plugins through 1.7.8.7 do not check a capability or a nonce before creating a WordPress role from a name supplied in the request, and store that name without escaping it, allowing any authenticated user, such as a subscriber, to inject arbitrary web scripts which execute when an administrator opens one of the standard user management screens.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.