CVE-2025-12356: Luka wtyczki Tickera do WordPress umożliwiająca nieautoryzowaną modyfikację statusów biletów

Co wiadomo

Wtyczka Tickera – Sell Tickets & Manage Events dla WordPress do wersji 3.5.6.4 zawiera lukę pozwalającą uwierzytelnionym użytkownikom z poziomem Subskrybenta i wyższym na nieautoryzowaną zmianę statusów postów i wydarzeń poprzez brak odpowiedniej weryfikacji uprawnień w AJAX endpoint 'wp_ajax_change_ticket_status'.

Wpływ biznesowy

Atakujący z dostępem co najmniej na poziomie Subskrybenta mogą zmieniać statusy wydarzeń i biletów, co może prowadzić do zakłóceń w zarządzaniu wydarzeniami, błędnych informacji dla użytkowników oraz potencjalnych nadużyć w sprzedaży biletów. Może to wpłynąć na reputację organizatora i zaufanie klientów.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Tickera do najnowszej wersji po jej wydaniu przez producenta. Do czasu aktualizacji warto ograniczyć dostęp użytkowników do poziomu Subskrybenta i wyższego oraz monitorować logi aktywności pod kątem nieautoryzowanych zmian statusów. Warto również przeprowadzić przegląd uprawnień użytkowników i rozważyć wdrożenie dodatkowych mechanizmów kontroli dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference