CVE-2025-12498: Nieautoryzowane dodawanie notatek w wtyczce EventPrime dla WordPress

Co wiadomo

Wtyczka EventPrime – Events Calendar, Bookings and Tickets dla WordPress do wersji 4.2.0.0 posiada lukę umożliwiającą użytkownikom z poziomem Subskrybenta i wyższym dodawanie nieautoryzowanych notatek do rezerwacji. Problem wynika z braku odpowiedniej weryfikacji uprawnień w funkcji 'booking_add_notes'.

Wpływ biznesowy

Luka pozwala na manipulację danymi rezerwacji poprzez dodawanie nieautoryzowanych notatek, co może prowadzić do dezinformacji i utraty kontroli nad procesem zarządzania rezerwacjami. Może to wpłynąć na operacje biznesowe i zaufanie klientów korzystających z systemu rezerwacji opartego na tej wtyczce.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki EventPrime i jej instalację. W przypadku braku łatki, ograniczenie dostępu użytkowników do poziomu wyższego niż Subskrybent oraz monitorowanie logów pod kątem podejrzanych działań. Priorytetowe jest również przeglądanie i weryfikacja notatek dodawanych do rezerwacji.

Źródła

• NVD
• Reference
• Reference
• Reference