https://alertas.dupin.com.ar/fabricante/mdjm-event-management/Alertas de vulnerabilidades de MDJM Event Management.esFri, 06 Nov 2026 10:11:27 +000010https://alertas.dupin.com.ar/cve/CVE-2026-88800/tg:63679Fri, 06 Nov 2026 10:11:27 +0000VulnerabilidadLos plugins de WordPress MDJM Event Management y Mobile Events Manager hasta la versión 1.7.8.7 procesan una solicitud de eliminación de rol en cada carga de página sin verificación de capacidades ni nonce, y la validación que debía proteger los roles con usuarios asignados lee una parte distinta de la solicitud. Esto permite a atacantes no autenticados eliminar cualquier rol de WordPress, incluido administrator, lo que quita permanentemente las capacidades a todos los usuarios.https://alertas.dupin.com.ar/cve/CVE-2026-88799/tg:63678Fri, 06 Nov 2026 10:11:26 +0000VulnerabilidadLos plugins de WordPress MDJM Event Management y Mobile Events Manager hasta la versión 1.7.8.7 no verifican la propiedad ni las capacidades sobre el identificador que se envía en la actualización del perfil de cliente. Esto permite a cualquier usuario autenticado, como un subscriber, cambiar la contraseña y el correo de cualquier otra cuenta, incluida la de administrator, lo que resulta en una toma de control total de la cuenta.https://alertas.dupin.com.ar/cve/CVE-2026-88801/tg:63677Fri, 06 Nov 2026 10:11:25 +0000VulnerabilidadLos plugins de WordPress MDJM Event Management y Mobile Events Manager hasta la versión 1.7.8.7 no verifican capacidades ni nonce antes de crear un rol de WordPress a partir de un nombre enviado en la solicitud, y almacenan ese nombre sin escaparlo. Esto permite a cualquier usuario autenticado, como un subscriber, inyectar scripts web arbitrarios que se ejecutan cuando un administrator abre una de las pantallas estándar de gestión de usuarios.